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(57) Abstract 
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Beschreibung 
Personendaten-Archiviemngssystem 

Die Erfindung betrifft ein Personendaten-Archivierungssystem nach dem Oberbegriff 
des Anspmchs 1 . 

In vielen Beretchen des tSgtichen Lebens werden persdnliche Daten bendtigt, die hdu- 
fig jedoch nicht in gesammelter Form zur Verfugung stehen, so dafi sie fUr jeden Be- 
darfefall aufwendlg zusammengesucht und -gestelft werden miissen. Oft gehen dabei 
Infomiationen verloren oder bleiben unberOcksichtigt. 

Lediglich exemplarisch daftlr sind Patientendaten zu nennen. anhand derer nachfol- 
gend einige Probleme bestehender Archivlerungssysteme beisprelhaft dargestellt wer- 
den. 

Die medizinischen Daten eines Patienten werden von vielen Einrichtungen des Ge- 
sundheitssystems ertioben und dokumentiert. Bei der bislang praktizierten Dokumenta- 
tion mrttels schriftlicher Eintragungen in Krankenbiatter. Karteikarten, Ausweise und 
passe (z.B. Diabetiker-Pafi) und dem bislang praktizierten Informationsaustausch Qber 
die Versendung von Arzt- und Krankenhausentlassungsberichten gehen haufig wichtige 
medizinische Daten verloren. 

Wechseft beispielsweise ein Patient seinen Arzt, so verbleiben die vortier gewonnenen 
Daten meist in der Kartel des zuletzt behandelnden Arztes und der nachste Arzt be- 
ginnt von neuem mit seiner Datensammlung. Hinzu kommt in der modemen Medizin 
eine zunehmende Aufeplittung der arztlichen Versorgung in die verschiedenen Fach- 
disziplinen, wobei oft unter den im Einzelfall beteiligten Kollegen eine ungenOgende 
Oder sogar keinertei Kommunikation erfolgt 
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Im derzeit praktizierten Informationssystem weiden daher oftmals diagnostische MaB- 
nahmen deswegen wiederholt, weil dem nachbehandelndem Arzt Qber vorausgegan- 
gene Untersuchungen nur schriftlich aufgezeichnete Beurteilungen des Vorgangers 
voriiegen. nicht aber beispielsweise die ursprOnglichen RGntgen- oder Ultraschallbtlder 
Oder Labor- und sonstigen MeBprolokoIle. Auf Grund im EinzelfaH unterschiedlicher 
Interpretationsmdglichkeiten mochte ein Arzt fQr seine weiteren MaSnahmen aber ver- 
standlicherweise nicht auf eine eigene Beurteilung von Originalunteriagen verzichten. 

Ein weiterer gravierender Nachteil des bestehenden Informationsaustausches be! Pati- 
entendaten liegt in der Tatsache. daB wichtige medizinische Daten im Notfall oft nrcht 
verfOgbar sind. Zwar sind in der Vergangenheit eine Reihe von Passen und Auswetsen 
entwickelt worden, wie z.B. der Europaische Notfall-Ausweis, der Impfausweis. der 
Marcumar-Auswels, der AllergiepaB u.a., jedoch sind in nachteiliger Weise, sofem den 
Patienten solche Dokumente ubertiaupt ausgehandigt wurden. wichtige Daten auf ver- 
schiedene Paplere verteilt und Ihr Inhatt ist bei einem Verlust melst nicht rekonstruier- 
bar. 

Einen Fortschritt in der Informationstechnologie im Bereich des Gesundheitswesens 
kfinnten Patlentenkarten in Form von Magnetstreifen- oder Prozessor-Chipkarten dar- 
stellen. die in der Lage sind, medizinische Infbnnationen auf einem mobilen elektroni- 
schen Datentrager zu spek;hem. So sind auch in letzter Zeit einige Kartenprojekte ent- 
standen, wetehe die Nutzung von Prozessor-Chipkarten zur Datenspeicherung im me- 
dizinischen Bereich zum Ziel hak>en. 

Die bisher bekannten Entwicklungen von Patientenkarten fOhren aber nicht zu einer 
wesentlichen Vert>esserung der Datenbasis fOr die unmittelbare Patientenbetreuung, da 
auf Grund der begrenzten Speicherkapazitat der Prozessor-Chipkarte nur ein kleiner 
Teil der medizinischen Daten eines Patienten berucksk:htigt werden kann. So beinhal- 
tet z.B. die Diabcard (GSF Forschungszentrum for Umwelt und Gesundheit Medis- 
Institut. Postfach 1129, D - 85758 OberschleiBheim) nurfiir die Diabetikertjetreuung 
relevante medizinische Daten. Bei einem anderen Modellprojekt. das von der Kassen- 
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arztlichen Vereinigung Koblenz, dem Zentralinstitut fur die kassendrztliche Versorgung 
und der Bundesvereinigung Deutscher Apothekerverbdnde in den Stddten Neuwied 
und Andemach gestartet wurde ("PraxisComputer". Nr 4, 15. 06. 94. Serten 3 bis 6, 
und Nr. 2, 10. 03. 95. Seiten 8/9), umfafit der auf einer Patientenkarte gespeicherte 
Datensatz neben den Anamnesedaten nur noch den Impf- und den Rdntgenstatus so- 
wie vom Apotheker an Patienten abgegebene Medikamente. 

Ein weiterer bedeutender Nachteil bestehender Spercherkarten besteht darin, daB die 
gespeicherten Daten nicht wirksam gegen MiBbrauch geschOtzt sind. Eine reine Ver- 
schlOsselung der gespeicherten Informationen ist nicht ausrerchend, da mit einem aus- 
reichend gro&en Aufwand letzlendlich jeder Code entschlQsselt werden kann. Im Fall 
von Patientendaten bedeutet dies, daB letzlere, beim Patienten selbst aufbewahrt, 
leicht auch Unbefugten In die Hflnde fallen kdnnen, die die entsprechenden Infonmatio- 
nen nach dem Decodieren der Daten zum Nachteil des Patienten venwenden kfinnten. 

Aus der DE 90 18 059 U1 ist ein System zur Speicherung, Bereitstellung und Aktuali- 
sierung von fiesten und/oder variablen Patienten- und Behandlungsdaten bekannt. Da- 
bei wird von einer stationdren Computer-Zentraleinheit mit einer Speichereinheit, in der 
die in einer Patientenkartei vorhandenen Patientendaten in Form von patientenspezifi- 
schen Datensdtzen gespeichert sind, und einer Daten-Schnittstelle zur Ein- und Aus- 
gabe von Patientendaten ausgegangen in Verbindung mit einer mobilen Einheit, wie 
etwa einem portablem Computer, der zur Aufnahme ausgewahlter Oder alter gespei- 
cherten Patientendatensatze vorgesehen ist. So kann ein Arzt auch be! Hausbesuchen 
die Informationen seiner elektronischen Patientenkartei nutzen und tetztere auBer Haus 
direkt aktuell halten. Ein individueller Patientendatensatz kann Qber eine Krankenversi- 
chertenkarte au^erufen und aktiviert werden, so daB die venwaltungstechnischen Be- 
suchsdaten direkt erfaBt werden. Wieder zurOck in seiner Praxis kann der Arzt dann die 
Daten auf seiner stationSren Computer-Zentraleinheit durch die mobile Einheit aktuali- 
sieren. 
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Der Arzt nimmt hier also seinen eigenen Datensatz zum Patienten mit. anstatt vom Pa- 
tienten selbst dessen gesammelte Daten von verschiedenen Arzten und ktinischen Ein- 
richtungen zur Verfugung gestetit zu bekommen. Arztliche Notdienste beispielsweise 
k6nnten dieses System bei unbekannten Patienten daher nicht nutzen. Es werden also 
von Anwendem und nicht von den Personen, welche die Daten betreffen, nur be- 
schrdnkte Daten ledigllch temporar transportabel abgespeichert. 

In der DE 38 15 633 C2 ist eine Datenverarbettungsanordnung zur zentralen Bearbei- 
tung von medizinischen Daten offenbart. Hiert)ei werden transportable persOnliche 
Speichereinrichtungen venwendet, die fOr eine vorubergehende Speicherung von lau- 
fend erfaSten Biodaten ausgetegt sind. Zumindest in vorgegebenen Zeitabstdnden 
werden daher die gespeicherten Daten uber eine Telefonstrecke in die Datenverarbei- 
tungsanlage eines Hospitals Qbemittelt. Sicherheitsaspekte spielen bei diesen Spei- 
chereinrichtungen daher keine Rolle. 

Die beiden Druckschriften enthalten somit keine Qber Qblrche transportable Spei- 
chereinrichtungen hinausgehende Losungen hinsichtlich der dezentralen Archivierung 
von pers5n lichen Daten. 

Aber auch in anderen Lebensbereichen ist die Zusammenstellung, Handhabung und 
VerfDgbarkeit von persdnllchen Daten aufwendig und fiihrt haufig nicht zum angestreb- 
ten vollumtenglichen Ergebnis. Neben der oflmals nicht ausrerchenden Speicherkapazi- 
tat der auf Prozessor-Chipkarten verfUgbaren Datenspeicher fur die gewQnschte Da- 
tenmenge besteht bei einer Speichemng auf transportabten Massenspeichem die Ge- 
fahr einer miBbrauchlichen Venvendung auf Grund einer fehlenden Zugriffeabsiche- 
rung. 

Es ist somit die Aufgabe der vortiegenden Erfindung, ein Personendaten-Archivierungs- 
system zu schaffen, das transportable. pers6nliche Speichereinrichtungen zum Spei- 
chem und Aufbewahren von Personendaten beim Inhaber enthait und einen hbheren 
Sichertiertsstandard als aus dem Stand der Technik bekannten Systeme emnttglicht. 
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Diese Aufgabe wird mit einem Personendaten-Archivierungssystem nach dem An- 
spruch 1 geldst. 

Durch die Erfindung ist somit bei einem gattungsgemaiien Personendaten-Archivie- 
rungssystem vorgesehen. da& den Speichereinrichtungen Berechtigungspriifeinrich- 
tungen zugeordnet sind, mittets denen nur in Abhdngigkeit von einer positiven Berech- 
tigungs- und/oder Authentizitatserkennung ein Zugriff auf zumindest einige der auf den 
persGnlichen Speichereinrichtungen gespeicherten Personendaten freigebbar ist. 

Insbesondere sind durch die Erfindung die Sicherheitsnachteile des Standes der Tech- 
nik behoben. Ein DatenmiBbrauch ist zumindest weitgehend unmoglich oder wenig- 
stens in Anbetracht des erforderlichen Aufwandes unrentabet durchzufuhren. 

Dadurch, da& erfindungsgemdl^ ein Zugriff zumindest auf einige der Daten nur nach 
erfblgter Authentisierung und Autorisierung mOglich ist, wird sichergestellt. da& die 
mOgiichenveise zusdtzlich verschlusselten Daten fUr Unbefugte nicht zugdnglich sind. 
um diese Daten zur Infomiationsgewinnung zu decodieren. 

Wenn ein solcher berechtigungsabhSngiger Zugriff nicht fur sSmtliche Datenbereiche 
vorgesehen ist, kOnnen auch Daten gespeichert werden, die frei zuganglich sind, wie 
es beispielsweise fOr Notfaltdaten von Vorteil sein kann. 

Als weiterer wesentlicher Vorteil wird durch die Erfindung femer die MOglichkeit ge- 
schaffen, grSBere persbnliche Datenmengen dezentral mit ausreichender Sicherheit zu 
speichem, wofiir transportable Speichereinrichtungen mit grGfieren Speicherkapazita- 
ten in das System integriert werden kfinnen. Solange nSmlich nicht die gewunschte 
Sichertieit der gespeicherten Daten vor unberechtigtem Zugriff realisierbar war, war die 
entsprechende Speicherung solcher bedeutenden persOnlichen Daten im Zustandig- 
keitsbereich jeder Person selbst aus Datenschutzgesichtspunkten nicht vemiinflig 
durchfOhrtjar. Erst durch die voriiegende Erfindung kbnnen nun auch groBe Datenmen- 



wo 96/08755 



PCT/EP95rt>3597 



-6- 

gen ausreichend geschOtzt werden, so da& nunmehr Qberhaupt erst sinnvoti an die 
Einbindung entsprechend ausreichend gro&er Spetchennedien herangegangen werden 
kann. wie es beispielswelse durch bevorzugte Ausgestaltungen der Speichereinrich- 
tungen der Erfindung erfolgt ist. D.h., daB es im speichertechnischen Sinn zwar grund- ' 
sStzlich kein Problem darstellt, Massenspeicher fur groSe Datenmengen bereitzustel- 
ten. derartige Speichermedien aber nicht selbst die fOr die persQnlichen Daten erforder- 
liche Zugriffesicherheit bleten, wie sie durch die Erfindung geschaffen wurde. 

Beispielsweise kann der Zugang zu den gespeicherten Daten sowie der Umfang dieses 
Zugangs z.B. au&er zu gespeicherten Notfalldaten ausschlie&lich vom Inhaber der 
Speichereinrichtungen bestimmt werden. 

Die Sicherheitselnrichtungen bei dem erfindungsgemd&en Personendaten-Archivie- 
rungssystem, d.h. die BerechtigungsprQfeinrichtungen, konnen bei einer gegenseitigen 
Identifizierung von Speichereinrichtungen und ZugriffegerSten beginnen und uberdie 
Registrierung einer Benutzererkennung durch die Berechtigungsprttfeinrichtungen bis 
zur NachrichtenverschlQsselung und -authentrfikation durch eine z.B. etektronische 
Unterschrift gehen. 

Durch die im Erfindungsumfang enthartenen Sicherhertsoptionen wird eine auBerst ho- 
he Datensicherheit enrercht wie sie beispielsweise nicht nur im medizinischen Bereich 
bislang noch nicht realisiert werden konnte. 

Die Erfindung hat aufierdem den Vorteil. dafi z.B. EDV-Hardware venwendet werden 
kann, die bereits als Massenprodukt fQr einen gunstigen Preis zur Verfugung steht, was 
den finanziellen Aufwand vemiinflig abschatzen laBt und in vernOnftigen niedrigen 
Grenzen halt Durch entsprechende Schnittstellen mit gangigen Praxisvenwaltungspro- 
grammen ist die Einbindung der vorgenannten Qbltchen Hardware Oder einer spezlellen 
Hardware und entsprechender Software in die vorhandene Praxis-EDV eines Arztes 
Oder einer klinischen Einrichtung leicht mOglich, was in der Bundesrepublik Deutsch- 
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land z.B. Ober die vorhandene Schnittstelle "Behandlungsdatentrager (BDT) gewShr- 
leistet ist. 

Beispielsweise bei einer Anwendung der Erfindung als Patientendaten-Archivierungs- 
system kann eine direkte Personatisierung und Aktualisierung relevanter Daten in der 
Arztpraxis selbst erfolgen. Bereits jetrl ist absehbar. daB medizinische Daten zukQnftig 
immer mehr primar auf z.B. digrtalen Medien erfaBt und gespeichert werden. Bei dem 
erfindungsgemaBen System wird der Patient in die Lage versetzt, sich die Daten noch 
in der Arztpraxis direkt auf sein Speichennedium Qberspielen zu lassen. Insbesondere 
medizinische Daten fQr Ausweisfunktionen und die Auflistung von Diagnosen und Dau- 
ermedikationen. Wertere umfangreichere Text- und Bilddaten kdnnen altemativ zur 
Oberspielung auf die patientenspezifischen Speichereinrichtungen in der Arztpraxis in 
PersonalisierungsbOros digttalisiert und auf die Speichereinrichtungen geschrieben 
werden. Eventuell kann vor einer Digrtalisierung eine Verkleinemng oder soger Mikro- 
verfilmung durchgefOhrt werden, urn den Speicherplatzbedarf zu minimieren. 

Eine Alternative zu den personlichen transportablen Speichereinrichtungen kfinnte in 
der multtmedialen Datenkommunikation ein allgemeiner Datenverbund in der ambulan- 
ten Medizin sein, was beispielsweise mrt Hitfe der ISDN-Vemetzung realisiert werden 
kftnnte. Die Telemedizin wird bereits in KrankenhSusem, Forschungsstatten und an 
Universitaten erprobt. Bei diesen Projekten geht es in erster Linie um Telekonsultation. 
also Z.B. den Austausch von diagnostischem BiWmaterial zum Zweck der gemeinsa- 
men Befundung. Daneben gibt es in diesem Bereich noch weitere sinnvolle Perspekti- 
ven, wie die Telekommunikation im administrativen Sektor oder die Teletherapie. 

In der ambulanten Medizin sind aber vGllig andere Voraussetzungen und Ziele gege- 
ben. In der ambulanten Medizin kommt der Patient zum Arzt oder umgekehrt Dabei 
kann der Patient problemlos als Oberbringer von Daten fungieren. wodurch keineriei 
Kosten entstehen, wie es im Vergleich mit der Datenvemetzung der Fall ware. Bei einer 
Datenaustauschvemetzung besteht weiterhin die Gefahr. Produkte und Dienstleistun- 
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gen am technisch Machbaren auszurichten und dabei die tatsSchtichen BedQrfnisse 
des Patienten aus den Augen zu verlieren. 

Bei der Tetemedizin mu& mit erheblichen Akzeptanzproblemen gerechnet werden. Der 
Austausch von persOnlichen medizinischen Daten Qber Datenautobahnen schUrt beim 
Patienten - vielleicht nicht zu Unrecht - die Angst vor dem "glasemen Patienten". Femer 
kdnnten bei einer DatenfemObertragung unautorisierte Personen eine Mdglichkeit ha- 
ben. an die gespercherten Daten zu geiangen. 

Es liegt aber eine weitere Nutzungsmdglichkeit der vortiegenden Erfindung darin. das 
Personen- oder insbesondere Patientendaten-Archivierungssystem und die Telemedi- 
zin synergetisch zu verbinden. So konnen die persOnlichen Speichereinrichtungen, wie 
beispielsweise eine Prozessor-Chipkarte in Verbindung mit einem transportablen Mas- 
senspeicher unter Einbeziehung von geeigneten Zugrrffsgerdten gleichsam als Peri- 
pheriestation dienen und patientenbezogene Daten nach erfolgter Schreibzugrifrsfrei- 
gabe von verschiedenen Ouellen aufnehmen. Oder in umgekehrter Richtung kann etn 
konslllarisch hinzugezogener Arzt Ober z.B. das ISDN-Netz auf die Daten der Spei- 
chereinrichtungen zugreifen, sobald die Berechtigungserkennung erfolgt ist. Bei einer 
noch weiteren Anwendung kann ein Patient durch ein persdntiches Zugriffsgerdt bei 
einem Anruf bei einem Arzt beispielsweise parallel zum Gesprdch uber den zwerten 
Kanal des ISDN^nschlusses dem Arzt seine Daten von den Speichereinrichtungen zur 
VerfUgung stetlen, wobei er mit seiner eigenen Berechtigung fur die Zugriffefreigabe 
sorgt. 

Ein weiterer Vorteil der vortiegenden Erfindung liegt darin, da& bestehende Datensy- 
steme und -strukturen problemlos Qbemommen und wettergefuhrt werden konnen. Z.B. 
kann bet einem Patientendaten-Archrvierungssystem durch die Ubemahme vorhande- 
ner Protokolle fur einen Datenaustausch der in der Bundesrepublik Deutschland bereits 
eingefOhrten Krankenkassenkarte und des zugehdrigen Lesegerdts ein frei zugdngli- 
cher Bereich der Speichereinrichtungen - vorzugsweise eine ats eine Art Text- oder 
Textaufzeichnungskarte fungierende Prozessor-Chipkarte - im Empfangsbereich jeder 



wo 96/08755 



PCr/EP95rt)3597 



-9- 

Arztpraxis oder in der Aufnahmestation jedes Krankenhauses in Deutschland gelesen 
werden. Der Zugriff auf die Notfalldaten ist zumindest gegen einen Zugriff durch Arzte 
nicht geschOtzt. so da& diese Daten auch bei Bewustiosigkeit des Patienten zuganglich 
sind. Altemativ kann als gewisser Schutz der Notfalldaten eine Zugriffegerateidentifika- 
tion elngebaiit sein. wobei Arzte und Rettungsdienste dann zweckmaaigenweise Qber 
geeignete Zugriffegerate verfugen. Hierbei bezieht sich die AuthentizitatsprGfung bzw. 
der Authentizitasnachweis auf z,B. das Lesegerat selbst. Die Prozessorkarte. die ein 
Beispiel fiir einen geeigneten Speichereinrichtungsteil ist, enmittelt in diesem Fall also 
bedienerunabhangig. ob das jewellige Lesegerat zugriffsberechtigt ist. DIese so gearte- 
te PrQfung kann auch fOr andere Datenbereiche als den Notfalldatenbereich venwendet 
werden. 

Eine andere Mdglichkeit, die Daten, die die Versorgung fur den medizinischen Notfall 
betreffen in in einer Notsituation nicht hinderlicher Weise zu schiitzen, so da& sie nur 
einem bestimmten Personenkreis ohne groSen Aufwand zuganglich sind, besteht in 
einer Arztkarte, durch die eine entsprechende Zugriffefreigabe erreicht wird. Mit der 
Arztkarte oder allgemein einer "Profikarte" oder Berechtigungskarte kann sich eine per 
se zugriffeberechtigte Person gewisserma&en z.B. in ein Lesegerat einloggen. Bis zum 
Ausloggen der Person kOnnen Ober das Lesegerat die soweit freigegebenen Daten auf 
den Speichereinrichtungen gelesen werden. Somit kann personenbezogen die Zu- 
griffsberechtigung nr^edizinischer Leistungsbringer geregelt werden. 

In jedem Fall (auch dem vorher geschikterten) wird auf der beispielsweise ais ein Teil 
der Speichereinrichtungen vorgesehenen Prozessorkarte nach einem Zugriff vennerict, 
mit welchen Lesegerat bzw. mit welcher Profikarte auf die Prozessorkarte zugegriffen 
wurde. So kann z.B. das Lesegerat eines bestimmten Krankenwagens ennittelt werden, 
Qber das ein Zugriff ausgefOhrt wurde. Ober den Dienstplan kann dann der Name des 
verantwortlichen Arztes ermittelt werden. Veriauft eine Authentizitatsprtifung positiv, so 
erfolgt auch gleichzeitig die Autorisierung fQr einen Speicherzugriff durch z.B. die Pro- 
zessorkarte selbst. 
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Nur die sonstigen Daten z.B. der Textkarte und einer Bild- oder Bildaufzeichnungskarte 
als Massenspeicher. die durch einen Massenspeicher gebildet ist. ItOnnert beispiels- 
weise erst nach Eingabe einer nur dem Patienten bekannten. persbniichen Identifikati- 
or»nummer (PIN) abgerufen werden. Die Eingabe der PIN erfolgt durch den Patienten 
Qber eine separate Zahlentastatur im Sprechzimmer des Arztes. Auf z.B. der Prozes- 
sorfcarte als eineiseits Berechtigungseinrichtungsbestandteil und andererseits Spei- 
chereinrfchtungsteil ist gewissermaBen ein Inhaltsverzeichnis der gesamten Spei- 
chereinrichtungen hinterlegt. 

Aktuelle Untersuchungsbefunde. wie Labor- oder Blutdruckwerte. Daten fOr Vor- und 
Nachsorgeunteisuchungen, PSsse usw. k6nnen jederzeit vom behandelnden Aizt dl- 
rekt in der Sprechstunde zur laufenden Dokumentation erganzt werden. Femer kOnnen 
z.B. Krankenkassen Updates versenden, die mittels eigenen Geraten, beim Arzt oder 
be! der Krankenkasse instaUieit werden kflnnen. Diese Daten kSnnen auf einem Mas- 
senspeicher beispielsweise in verschlQsselter Form vorliegen. Nur durch einen chipkar- 
ten-gestOtzten oder -freigegebenen Zugriff sind bei einem AusfOhrungsbeispiel diese 
Daten entschlOsselbar, wofOr wegen der eventuell sehr groBen Datenmenge ein Co- 
prozessor als Kryptoeinheit eingesetzt wird. die z.B. ebenfalls auf der Chipkarte ange- 
ordnet isL 

GemaB einer worteilhaften WeileibiWung der Erfindung kann mrltels den Berechti- 
gungsprufeinrichtungen eine Mehrzahl von PrOfstufen ausfOhitoar sein. Der damit er- 
zielbare Vorteil liegt darin, daB die gespeicherten Daten abgestuft vor unbeiechtigten 
Zugriffen geschOtzt werden kOnnen. So kann es beispielsweise wOnschenswert sein. 
daB zumindest im eigenen Beisein ein Apotheker auf Infonnationen betreffend bisher 
verabreichte Medikamente zugreifen kann, ein Sachbearbeiter einer Bank bei einem 
Bankwechsel Dauerauflrags- und Einzugsem.achtigungsdaten in die Datenbank des 
neuen Instituts QbeifQhrt. ein Taxifahrer sich die exakl bezeichnete Zieladresse auf sei- 
nem Display anzeigen lassen kann, um nicht durch einen Verstandigungsfehler zu ei- 
nem falschen Ziel zu fahren oder das Ziel nicht zu kennen, usw. 
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Bei einer bevorzugten Ausgestattung der Erfindung enthatten die Speichereinrichtun- 
gen zumindest teilweise ein zum Hinzufugen und/oder Andem von Personendaten be- 
schreibbares und insbesondere wiederbeschreibbares Speichermedium. Damit kdnnen 
in vorteilhafler Weise die gespelcherten Infomriationen problemlos aktuell gehalten wer- 
den. ohne bel Datendnderungen Oder -hinzufugungen immer wieder neue komplette 
Speichereinrichtungen herstelten zu mOssen, was im Hinbiick auf eine mdglichst grol^e 
Sicherheit in Abhdngtgkeit von konkreten Anwendungsfdiien aber audi Vorteile hat. Ein 
wiederbeschreibbares Speichermedium hat den Vorteil, daft der vorhandene Spei- 
cherptatz optimal genutzt wenden kann, da keine unn5tigen Oder veralteten Daten ge- 
speichert bleiben. Ein einmalig beschreibbares Speichennedium hat den Vorteil, daB 
Daten nicht versehentlich gelOscht werden und dabel unwiederbringbar verloren gehen 
kdnnen. 

Dadurch. da& die BerechtigungsprOfeinrichtungen zum Freigeben eines Lese- und/oder 
Schreibzugriffs auf das beschreibbare Speichermedium in Abhdngigkeit von einer Ins- 
besondere entsprechenden Berechtigungs- und/oder Authentizitdtserkennung ggf. in 
einer zugehdrigen PrQfstufe ausgelegt sind, kann vorteilhaft sichergesteitt werden, da& 
die Zugriffeberechtigung mOglichst praxisgerecht handhabbar ist Dasselbe triffl fur den 
Fall zu, da& zumindest ein Teil des beschreibbaren Speichemnediums schreibgeschQtzt 
Oder schreibschOtzbar ist, wie bei einer Weiterbtldung der Erfindung vorgesehen ist. 

Wenn die Speichereinrichtungen einen ersten Teil und zumindest einen zwerten Teil mit 
insbesondere unterschiedlichen Speicheriopazitaten enthatten, wird eine Grobeintei- 
lung der zu speichemden oder gespeicherten Daten mOglich, wobel z.B. ein kleiner, 
schneller Speicher fQr hflufig genutzte Daten und ein groBer. langsamer Speicher fOr 
selten bendtigte grofte Datenmengen mit Vorteil einsetzbar ist. Femer kann ein Spei- 
cher fOr die Entscheidungsfindung der BerechtigungsprOfeinrichtungen erforderiiche 
Informationen enthalten, wodurch auch der andere Speicher geschOtzt wird. 

Bei einer bevorzugten AusfOhrungsfomn der Erfindung ist der erste Teil der Spei- 
chereinrichtungen kapazitatsmd&ig am kleinsten und ein Ausweis-, Identifikations- oder 



WO9W08755 



PCT/EP95A)3597 



- 12 - 

Stammdatenspeicherteil. PraWischerweise kann gemas einer Weiterbildung dieser 
AusfQhaing auf die auf dem ersten Teil der persfinlichen Speichereinrichtungen ge- 
speicherten Personendaten, wie Ausweis-. Identifikations- Oder Stammdaten, unab- 
h^ngig von den BerechtigungsprOfeinrichtungen oder mit einer positiven Berechti- 
gungs- und/oder Authentizitatserkennung in einer ersten PrOfetufe der Berechtigungs- 
prOfeinrichtungen zugegriffen werden. Damit steht ein Speicher zur VerfQgung. der z.B. 
zum Speichem von Notfalldaten geeignet ist, die auch ohne Mitwirkung des Inhabers 
zugdnglich sein soltten. 

Eine besonders bevorzugte AusfOhoingsfonn der Erfindung ist dergestalt, da& nur in 
Verbindung mit wenigstens dem ersten Teil der Speichereinrichtungen auf zumindest 
einen zweiten Teil der Speichereinrichtungen zugegriffen werden kann. Dies ist eine 
besonders sichere Struktur. urn einen unbefugten Zugriff auf die Infomiationen im 
zweiten Teil der Speichereinrichtungen auszuschliefien. 

In weiterer Ausgestaltung beispielsweise der vorstehenden AusfOhmngsfomi ist erfin- 
dungsgemaB bevorzugt, dad der zweite. relativ zum ersten Teil kapazrtStsmaaig grdBe- 
re Teil der Speichereinrichtungen ein DetaiWatenspeicherteil ist. dessen Inhalt somit 
besonders sicher ist. Diese Sichertieit kann weiter dadurch ertifiht werden, da& auf die 
auf dem zweiten Teil der persdnlichen Speichereinrichtungen gespeicherten Personen- 
daten. wie DetaiWaten, nur in AbhSngigkeit von einer positiven Berechtigungs- 
und/oder Authentizitatsertcennung ggf. in einer zweiten PrOfstufe mittels der Berechti- 
gungsprOfeinrichtungen zugrerfbar ist. 

Eine weitere besonders bevorzugte Realisierung der Erfindung besteht darin, daB die 
wenigstens ersten und zweiten Telle der Speichereinrichtungen durch separate erste 
bzw. zwerte Speichervorrichtungen insbesondere auf verschiedenen ersten bzw. zwei- 
ten Datentragem gebiWet sind. Die raumliche Trennung der Speichereinrichtungsteile 
insbesondere auf separaten Datentragem tragt in vorteilhafter und besonders einfacher 
Weise zu einer hohen Sicherheit des erfindungsgemafien Systems bei. da es dadurch 
mbglich ist. den Datentrager mit den kritischeren Daten sicher aufzubewahren, solange 
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er nicht benOtigt wird, was meist relativ selten der Fall ist. Femer kann das System so 
eingerichtet sein, wie waiter oben angegeben ist. daB auf den zweiten Speichereinrich- 
tungsteil nur in Kombination mit dem ersten Speichereinrichtungsteil zugegriffen wer- 
den kann. Wird somit dafur gesorgt, daft nicht beide Speichereinrichtungsteile gemein- 
sam abhanden kommen k6nnen. sind die Daten auf dem zweiten Speichereinrichtungs- 
teil absolut sicher. 

GemaB bevorzugten AusfQhmngen der Erfindung ist der erste Teil der Speichereinrich- 
tungen bzw. die erste Speichervonichtung eine magnetische, magneto-optische Oder 
optische Speicherflache Oder ein Speicherchip insbesondere auf oder in einer vor- 
zugsweise etwa scheckkartengroBen Kunststoffkarte als Datentr^ger. Femer ist der ■ 
zweite Teil der Speichereinrichtungen bzw. die zweite Speichervorrichtung bevorzugt 
ein elektronischer, magnetischer (z.B. Diskette oder Streamer-Tape), magneto-opti- 
scher oder optischer (z.B. CD-ROM ggf. beschreibbar oder WORM: "Write Once Read 
Many") Massenspeicher insbesondere in Fomi einer 2,5 oder 3,5 Zoll groBen Diskette 
Oder ein Halbleiterspeicher einer PCMCIA-Einheit (Personal Computer Memory Card 
International Association) als Datentr^ger. Als eine derartige Kombination kfinnen bei- 
spielsweise eine Prozessor-Chipkarte mit den Berechtigungspriifeinrichtungen und ei- 
nem kleineren Speicher und eine MO- (magneto-optische) Platte zur Speichemng gro- 
Ber Datenmengen einschlieBlich Bildem kombiniert eingesetzt werden. wobei der Zu- 
griffeschutz der MO-Platte durch die Prozessor-Chipkarte erfolgt, fQr einen Zugriff auf 
die MO-Platte also zumindest die Prozessor-Chipkarte vorhanden sein muB. 

Die Verteilung z.B. medizinischer Infonnationen auf beispielsweise eine Prozessor- 
Chipkarte und ein Massenspeichemiedium gewahrteistet einen per se abgestuften Da- 
tenzugang und somit eine hohe Sicherheit. die weiterhin dadurch erhflht wind, daB die 
Chipkarte gewissermaBen als Schlussel einerseits fur einen Zugriff auf die auf ihr selbst 
gespeicherten Daten und andererseits auf das Massenspeichermedium fungiert. Zu- 
satzlich kdnnen auch noch die Daten auf dem Massenspeichemiedium verschlussett 
sein, urn eine noch hOhere Sicherheit zu gewahrleisten. 
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Als Prozessor-Chipkarte, die bei der vorstehend beschriebenen Kombination mrt einem 
Massenspeicher als 'Textkarte" fungiert, kann eine Prozessorkarte entsprechend den 
geltenden DIN-Vorschnften oder ISO-Standards mit einer Speicherkapazitdt von acht 
Oder sechszehn Kilobytes verwendet werden. was bei einer Komprimierung der darauf 
zu speichemden Daten eine ausreichende Infoonationsmenge fDr Notfdlle und Ober- 
sichten enmOglicht. Der Massenspeicher. der auch als "Bildspeicher" bezeichnet wer- 
den kann. hat als Minidisk oder magneto-opische Platte (MO-Platte) beispielsweise ei- 
ne Kapazitdt von 140 Megabyte oder sogar bis zu 650 Megabyte. MO-Platten sind mit 
2,3 Oder 3,5 Zoll relativ klein und handlich und kdnnen ausreichend gro&e Datenmen- 
gen aufrtehmen. Hinzu kommt, da& die Daten auf einer MO-Ptatte beliebig oft uber- 
schrieben, aber unter Alltagsbedingungen nicht versehentlich geloscht werden konnen. 

Die Textkarte speichert in Schriftfbnm vorliegende Informationen und leistet durch eige- 
ne "Intelligenz" den Zugriffsschutz fQr beide DatentrSger beispielsweise unter Einbezie- 
hung von Verschlusselungsatgorithmen, w£ihrend die Bildkarte die Speicherung von 
gro&en Datenmengen ubemimmt, also von Abbildungen (ROntgen-, Ultraschall- und 
Endoskopiebilder usw.). von Biosignalen (z.B. EKG. EEG) oder auch von Texten zur 
Anamnese, die auf der Prozessorkarte keinen Platz mehrfinden. Insbesondere kann 
die Textkarte bei einem Patientendaten-Archivierungssystem Infomnationen. wie Ver- 
waltungsdaten. einen Notfall-Ausweis. Anamnese, Beflind, Vor- und Nachsorge sowie 
etnen Pa& u.S. enthalten. 

FOr die Erfindung kommt es jedoch nicht darauf an. ob und ggf. wie die Speichermedi- 
en zusammengesetzt sind, sondem nur darauf, daf& ein wiricsamer Zugriffeschutz reati- 
siert ist. Beispielsweise kann ein optischer Speicher mit sehr gro&er Kapazitdt auch als 
einziger Speicher venvendet und auf einer etwa scheckkartengroBen Kunststofncarte 
untergebracht werden. Durch physikalisches Lochbrennen sind beispielsweise Spei- 
cherkapazitaten im Berefch von 1 Gigabyte pro cm^ Kunststoffolle als Datentr^ger mdg- 
lich, so da& bezOgltch einer so ausgestalteten Karte exteme Massenspeicher unnOtig 
sind. 



W0 96MI8755 



PCT/EP95/03597 



-15-* 

Ein vorzugsweiser Aufbau der Erfindung besteht darin, dali zumindest einem Teil der 
Speicheretnrichtungen Prozessoreinrichtungen zugeordnet sind. die vorzugsweise auf 
dem Datentrager, wie z.B. einer Kunststoffkarte, angeordnet sind und insbesondere 
einen Prozessor enthalten. Besonders vorteilhaft kfinnen derartige Prozessoreinrich- 
tungen fOrdie Berechtigungsprufeinrichtungen genutzt werden. Die Prozessoreinrich- 
tungen gewdhrietsten dabei durch eine eigene **lntelligenz" den Zugriffsschutz {ur die 
Speichereinrichtungen. Dabei ist weiterhin bevorzugt, daB die Prozessoreinrichtungen 
zur Steuerung von zumindest Teilen der Speichereinrichtungen und/oder zur wenig- 
stens teilweisen Steuerung von Zugriffen auf letztere und/oder insbesondere ats Teil 
der BerechtigungsprOfeinrichtungen ausgelegt sind. 

Zur Erhohung der Datensicherheit ist es femer von Vorteil. wenn den Speichereinrich- 
tungen Kryptoeinrichtungen vorgeschaltet sind. deren Betrieb insbesondere mittels der 
Berechtigungsprufeinrichtungen zur Bearbeitung von Zugriffen auf die Speichereinrich- 
tungen freigebbar ist. D.h.. daB ein Ver- und EntschlQsseln der gespeicherten Daten 
von einer ZugriffsfiBigabe durch die Berechtigungseinrichtungen abhangt. Bevorzugt 
sind die Kryptoeinrichtungen in ggf. vorhandenen Prozessoreinrichtungen enthalten 
und weisen vorzugsweise einen Kryptoprozessor auf. 

Wenn ein Teil der Speichereinrichtungen und/oder die Berechtigungsprufeinrichtungen 
auf einer Prozessor-Chipkarte realisiert sind, kann beisplelsweise letztere auch eine 
Kryptoeinheit aufnehnr>en. Prozessoreinrichtungen k6nnen aber auch ganz Oder teilwei- 
se in einem Zugriffegerflt oder in zugeordneten Rechnereinrichtungen untergebracht 
sein. 

Allgemein kdnnen Kryptoeinrichtungen z.B. ein asymmetrisches VerschlQsselungsver- 
fahren (RSA) venwenden. 

Urn zu vertiindem, daa unenviinschte Kopien der gespeicherten Daten angefertigt wer- 
den kOnnen, steht eine Fortbildung der Erfindung vor, daB Kopierschutzeinrichtungen 
vorgesehen sind, mittels denen ein Speichem von zumindest einigen Daten, die auf 
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den persdnlichen Speichereinrichtungen. insbesondere ggf. deren zweiten Teil, gespei- 
chert sind. auf bezOglich letzteren extemen Speichem unterbindbar ist und/oder ein 
Speichem von zumindest einigen Daten, die auf dem ersten Teil der Speichereinrich- 
tungen gespelchert sind. auf bezQglich letzteren extemen Speichem zulaObar sind. 
Letzteres emi6glicht z.B. die problemlose Obemahme von Patientenname, -adresse 
und Krankenkassendatenfurdie Rezeptausstellung und Behandlungsabrechnung. 

In ahnlicher Weise wirken Dmckausgabeschutzeinrichtungen, die vorgesehen sein 
kannen und mittels denen etne Druckausgabe von zumindest einigen Daten unterbind- 
bar Ist. die auf den persttniichen Speichereinrichtungen, insbesondere ggf. deren 
zweiten Teil, gespelchert sind und/oder ein Drucken von zumindest einigen Daten zu- 
lafibar ist, die auf dem ersten Teil der Speichereinrichtungen gespelchert sind. Letzte- 
res ennaglicht eine problemlose Erstellung z.B. eines schriftlichen Behandlungsberichts 
fOr einen Arzt. 

Urn zu verhindem, daS die einer Person genehmigte Einsichtnahme in die Daten durch 
Hanware-Einrichtungen gleichzeitig unbeabsichtigt beispielsweise Ober zusatzliche Bild- 
schinne oder mittels Netzweridcarten sogar andere Rechner auch wetteren Personen 
zuganglich sind, sollten Ausgabebeschrankungseinrichtungen vorgesehen sein, mittels 
denen eine Ausgabe von zumindest einigen Daten, die auf den persdnlichen Speicher- 
einrichtungen, insbesondere ggf. deren zweiten Teil, gespeichert sind, auf mehr als ein 
Ausgabemedium unterbindbar ist. 

Urn jedoch willentliche Kopien, Dmckausgaben und Mehrbildschimianzeigen, Netz- 
wericubertragungen etc. der aufgerufenen Daten zuzulassen. k6nnen die entsprechen- 
den vorgenannten Schutzeinrichtungen mittels der Berechtigungsprufeinrichtungen 
durch eine entsprechende positive Berechtigungs- und/oder AuthentizitStsericennung 
ggf. in einer zugehorigen PrQfstufe neutralisiert werden. 

Eine einfache. schnelle und wirt<ungsvolle Sicherungseinrichtung besteht darin, daft die 
Berechtigungsprufeinrichtungen ausgelegt sind, Geratekennungen von Zugriffsgeraten 
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far die Handhabung der Speichereinrichtungen in eine PrQfung zur Berechtigungs- 
und/oder Authentizitatserkennung ggf zur Erfullung einer insbesondere ersten Priifstu- 
fe einzubeziehen. Eine derartige Berechtigungspriifung kann z.B. fUr eine Zugriffefrei- 
gabe auf Notfalldaten ausreichend sein und durch Bereitstellen entsprechender Zu- 
griffegerSite fOr Notdienstpersonal Oder -fahrzeuge sicher realisiert werden. 

Zusatzlich Oder altemativ k6nnen die pers6nlichen Speichereinrichtungen Kennungen 
aufwetsen, die von den BerechtigungsprOfeinrichtungen in eine PrOfung zur Berechti- 
gungs- und/oder Authentizitatserkennung ggf. zur ErfDIIung einer insbesondere ersten 
PrOfetufe einbeziehbar sind. Damit kann beispielsweise sichergestellt werden, daB es 
sich nicht urn gefSlschte Speichereinrichtungen handett, deren falsche Daten im medi- 
zinischen Bereich zu einer gefahriichen Falschbehandlung fOhren k6nnen. Auch daran 
ist deutlich zu sehen, wie wichtig z.B. im Bereich der Patientendatenarchivierung die 
zuveridssige Bereitstellung der richtigen Daten ist. 

Die bei der vorliegenden Erfindung bevorzugt eingesetzten Sicherheitskomponenten 
sind Benutzer- und/oder Inhaberidentifikationen von zumindest einem Anwender bzw. 
dem Inhaber, dessen Daten in den Speichereinrichtungen archiviert sind. Derartige 
Kennungen werden von den BerechtigungsprOfeinrichtungen vorzugsweise in eine 
PrOfung zur Berechtigungs- und/oder Authentizitatsert<ennung ggf. zur ErfOllung einer 
insbesondere zweiten PrOfstufe und ggf. weiterer PrOfetufen zur Freigabe eines Zugriffs 
auf zumindest einige der auf den pers6nlichen Speichereinrichtungen gespeicherten 
Personendaten einbezogen. 

Besonders einfache Mdglichkeiten zur Eingabe von Anwendertcennungen, wie eine Be- 
nutzer- bzw. Inhaberidentifikation, fur die BerechtigungsprOfeinrichtungen erfolgt uber 
manuelle und/oder elektronische Eingaben. wie beispielsweise von einer Berechti- 
gungskarte. 

Um jederzert vorgenommene InfbrmationszugrifFe und EintrSge personell zuordnen zu 
kdnnen. ist es vorteilhaft, wenn durch die BerechtigungsprOfeinrichtungen zugelassene 
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Zugriffe auf den Speichereinrichtungen mit den dafur relevanten Daten. wie Gerateken- 
nungen von Zugriffsgeraten und/oder Benutzer- und/oder Inhaberidentifikationen. ins- 
besondere auf den Speichereinrichtungen selbst dokumentierbar sind. 

Um dem Inhaber der Speichereinrichtungen die darin oder darauf enthaltenen Infofma- 
tionen zugSnglich zu machen. oder um ihm selbst Aktuaiisierungen zunnindest bestimm- 
ter Daten zu erm6glichen. sind bei einer vorzugsweisen Ausgestaltung des erfindungs- 
gemSBen Systems persOnliche Zugriffsgerate vorgesehen, mittels denen vom Inhaber, 
dessen Daten in den Speichereinrichtungen archiviert sind, und/oder von Anwendem 
der Speichereinrichtungen in Abhdngigkeit von einer insbesondere entsprechenden 
Berechtigungs- und/oder Authentizitatserkennung ggf. in einer zugehdrigen PrOfstufe 
auf zumindest einige der archivierten Daten zum Zweck der Infomiation. Datenande- 
rung/-erganzung und/oder Weitergabe auch Qber DatenfemObertragung zugreifbar ist 
Damit konnen z.B. auch bei telefonischen Beratungen, Vereinbarungen, Bestellungen 
etc. erforderiiche Daten problemlos dem Gesprachspartner zur Verfugung gestellt wer- 
den. Eine derartige DatenfemObertragung wird z.B. durch das zweikanalige ISDN-Netz 
begOnstigt, in dem ohne v»/eiteres die Gesprachs- und die DatenObertragung gleichzei- 
tig mdglich sind. 

FQr Kunden-, Patienten- und Mandantenbesuche einerseits und die AriDeit in der Firma, 
Praxis bzw. Kanzlei andererseits ist es weiter von Vorteil, wenn mobile und/oder statio- 
nare Zugriffsgerate vorgesehen sind, mittels denen von Anwendem in Abhangigkeit von 
einer insbesondere entsprechenden Berechtigungs- und/oder Authentizitatserkennung 
ggf. in einer zugehdrigen Priifstufe auf zumindest einige der archivierten Daten zum 
Zweck der Information und/oder Datenanderung/-erganzung zugreifbar ist Dadurch 
kann das System Uberall und jederzeit einsatzbereit gehalten und konnen z.B. auch 
Rettungsfahrzeuge, Polizeifahrzeuge usw. problemlos so ausgestattet werden. daB 
eine Nutzung der gespeicherten Informationen an jeglichem Einsatzort moglich ist. 



FQr die Kosten der Zugriffsgerate ist es von Vorteil. daB letztere beispielsweise grund- 
satzlich fQr einen Schreib- und/oder Lesezugriff ausgelegt sind, wobei zumindest auf 
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einige der airf den persOnlichen Speichereinrichtungen gespeicherten Personendaten 
eben in Abhangigkert von einer insbesondere entsprechenden Berechtigungs- und/oder 
Authentizltatserkennung ggf. in einer zugehOrigen PrOfetufe zum Schreiben und/oder 
Lesen zugegriffen werden kann. 

FDr die bereits weiter oben angegebene besonders einfache BerechtigungsQberprufung 
ist vorgesehen, daB die Zugrlffsgerate Geratekennungen aufwelsen. die von den Be- 
rechtigungsprOfeinrichtungen zur PrOfung einer Berechtigungs- und/oder Authentizt- 
tatserkennung ggf. zur Erfullung einer insbesondere ersten Prtifstufe erfaBbar sind. und 
daa die Geratekennung vorzugsweise durch eine in zumindest ein ZugriffegerSt ein- 
gebbare Anwenderkennung aktivierbar ist. 

Das System kann besonders kostengOnstig und einfach aufgebaut werden. wenn zum 
Ansteuem der ZugriffsgerSte herkGmmliche Rechnereinrichtungen. wie PCs. vorgese- 
hen sind. Weiterhin wird ein giinstiger Aufbau des erfindungsgemaOen Personendaten- 
Archivierungssystems dadurch gefOrdert, dad die Zugriffegerate entsprechend den 
Formaten von die Speichereinrichtungen aufnehmenden DatentrSgem Kartenlesegera- 
te fur Z.B. Magnetstreifen- Oder Chipkarten. Diskettenlaufwerke fur z.B. magnetische, 
magnetOKjptische oder optische Disketten, CD-ROM-Laufwerite und/oder Aufnahmen 
for PCMCIA-Einheiten enthalten, wie sie insbesorwlere weitverbreitet angeboten wer- 
den. Ein Sicherheitsrisiko entsteht dadurch nicht, da die Datensicherheit durch die Be- 
rechtigungsprufeinrichtungen gewShrieistet wird. Femer konnen herkdmmliche Rech- 
nereinrichtungen. einschlleBlich wenigstens Bildschinn. Tastatur und Drucker. kosten- 
gOnstig als Anzeige- und Ein-/Ausgabegerate von Daten vorgesehen werden. 

Eine besonders effizlente. sichere und zuvertassige Ausgestaltung der Zugriffegerate 
sowie ein entsprechender Betrieb des Systems nach der Erfindung besteht darin. daB 
zumindest zwei Zugriffsgerate zur Zusammenschaltung von entsprechenden Datentra- 
gem der Speichereinrichtungen insbesondere zu einem Gesamtgerat kombiniert sind 
und diese Zusammenschaltung von den BerechtigungsprOfeinrichtungen zum Berechti- 
gungsnachweis oder ggf. als eine erste PrOfstufe erfaBbar ist. Beispielsweise kann ein 
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kombiniertes Zugriffsgerdt fur eine Prozessor-Chipkarte und einen Massenspeicher als 
Bestandteile der Speichereinrichtungen vorgesehen werden. Die Berechtigungspru- 
feinrichtungen kdnnen hierbei besonders einfach reatisiert werden, da die Schattung 
test vorgegeben sein kann. Insbesondere kdnnen die Sicherhertseinrichtungen in Form • 
der Berechttgungsprufeinrichtungen unabhdngig vom Betriebssystem eines zur Steue- 
rung, Bedienung und Auswertung venwendeten Rechners betrieben werden. Vor altem 
bei dieser AusfOhmngsfbrm, aber grundsdtzlich auch jeder anderen geeigneten Gestal- 
tung der Erfindung, kann besonders einfach und effizlent eine Zugriffsgerdtekennung 
zum Datenschutz eingesetzt werden. 

Zundchst kann dabei eine Autorisierung des Benutzers erfolgen. Es wird nur dann ein 
Zugriff auf das Speichemriedium eriaubt, wenn das venwendete Zugriffegerat, das ein 
geeignetes Laufwerk sein kann. insbesondere fOr zwei Datentrager, wie z.B. eine Pro- 
zessor-Chipkarte und eine Minkiisk, mit einer Kennung ausgestattet ist. Dadurch wird 
gewdhrleistet, da& nur entsprechend ausgerOstete Zugriffeger£ite, die auch nur fDr ein- 
zelne Datentrager ausgetegt sein kOnnen, fOr Schreib- und/oder Leseoperationen be- 
nutzt werden kdnnen. was sicherstellt, daH nur dafQr autorisierte Einrichtungen Zugang 
zu den Daten der Speichereinrichtungen erhalten. 

Bei etnem AusfQhrungsbeispiel der Erfindung haben zur Datensrcherung sowohl das 
Lesegerat einer Prozessor-Chipkarte als auch das Laufwerk einer Diskette je eine Ken- 
nung. Dabei isl die Diskette nur lesbar, wenn die Lesegeratekennung die Prozessorkar- 
te autorisiert und gleichzeitig die Laufwerkskennung die Diskette autorisiert und gleich- 
zeitig die Prozessorkarte die Diskette fteigibt. 

Femer kann berelts Ober die Zugrtffsgeratekennung jeglicher Zugriff auf die Daten der 
Speichereinrichtungen dokumentiert werden. Dies wurde in der Weise erfolgen, da& bei 
Verwendung des ZugriffsgerSts, wie eines einzelnen oder fOr mehrere Speichen/orrich- 
tungen kombinierten Laufwerks, die entsprechende Kennung als Stempel an einem 
dafQr vorgesehenen Speicherplatz z.B. auf der Prozessor-Chipkarte als Teil der Spei- 
chereinrichtungen hinteriassen wird. 
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Schlieaiich ist Ober die au^ezeichnete Zugriffegeratekennung eine Identifikation des 
Benutzers mGglich. Damit kann nachgewiesen werden, in welcher Arztpraxis oder in 
welchem Rettungswagen auf die Daten der Spelchereinrichtungen zugegriffen wurde. 
Durch entsprechende MaBnahmen, wie z.B. tumusmaBiger Wechsel der Kennung. 
kann damit auch ftir die Authentifikation des Benutzers gesorgt werden. 

Damit ein sicherheitstechnisch zwar nicht zu furchtender. infomnationstechnisch jedoch 
auBerst unangenehmer Datentragerveriust sich nicht negativ auf die Datenarchivierung 
auswirkt, sollten von alien Datentragem Sichemngskopien erstellt und aufbewahrt wer- 
den. Bevorzugt sind die Zugriffegerate ausgelegt. ohne Berechtigungsnachweis Oder 
ggf. in einerersten PrOfetufe Sichemngskopien der transportablen. persOnlichen Spei- 
chereinrichtungen zu erstellen. Besondere SicherheitsmaBnahmen sind dabei deshalb 
nicht zu beachten. da fQr den Zugriff auf Kopien der Spelchereinrichtungen dieselben 
MaBgaben gelten, wie fUr die Originate. 

FQrelnen bevorzugten Einsatzdes erfindungsgemSBen Personendaten-Archivierungs- 
system sind gewisse Anpassungen an die Handhabung von Patientendaten vorteilhaft. 
wie Z.B., daB das System zum Speichem und Aufbewahren von Patientendaten, ein- 
schlieBlich schriftlicher und graphischer Unterlagen, beim Inhaber ausgelegt ist. Dafur 
kann das System geeignete Eingabemedien. wie einen Scanner enthalten. 

Vorzugsweise enthait der erste Teil der Speichereinrichtungen einen Notfalldatenspei- 
cherbereich, in dem Venwaltungsdaten und die Daten eines Notfallausweises, eines 
Organspendeausweises, Notfatltestaments u.a. des Inhabers speicherbar sind. Ein Zu- 
griff auf diese Daten sollte durch die BerechtigungsprOfeinrichtungen frei oder mrt nur 
einer Arzt- oder Rettungsdienstkennung. die vorzugsweise Qber eine spezielle Arzt- 
oder Rettungsdienstkarte oder eine Arzt-/Retlungsdienst-Zugriffegeratekennung in die 
BerechtigungsprOfeinrichtungen eingebbar ist, oder mit nur einer Inhabertcennung frei- 
gebbar sein. 
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Weiterhin ist es bevorzugt, daB der erste Teil der Speichereinrichtungen einen Ober- 
sichtsdatenspeicherbereich enthdtt. in dem eine Auflistung wichtiger anamnestischer 
Daten. einschliedtich einer ggf erfblgten Verabreichung von Blut Oder Blutprodukten 
und eine Dokumentation wichtiger Gesundheits-ZKrankheitsdaten. einschlie&lich Aller- 
gie-, Impf-, ROntgen-. Schrittmacher-, Diabetiker-, Medikamentendaten u.a., analog ei- 
ner drztlichen Pattentenkarte gesperchert werden kann. Zusdtzlich zu den vorstehen- 
den im Zusammenhang mit den Not^lldaten angegebenen Zugriffsberechtigungen 
kann hier noch ein Zugriff durch Krankenkassen mittels einer entsprechenden Kennung 
vorgesehen sein. 

Alle diese Zugriffsrechte kOnnen femer fOr einen im ersten Teil der Speichereinrichtun- 
gen enthaltenen Behandlungsdatenspeicherbereich, In dem ein vorgegebener zeitlicher 
Rahmen und eine vorgegebene inhaltliche Struktur von Vorsorgeuntersuchungen sowie 
Untersuchungen im Rahmen der Nachsorge chronischer und/oder bosartiger Erkran- 
kungen speicherbarsind, und fur einen optionalen oder zusdtzlichen Nachweisdaten- 
spelcherbereich eingestellt sein, der im ersten Teil der Speichereinrichtungen enthalten 
Ist und in dem zumindest eine vorgebbare Anzahl und/oder Art von Zugrlffen auf die 
Speichereinrichtungen insbesondere einschlie&lich der jeweils erfotgten vorzugsweise 
indtviduellen Berechtigungs- und/oder Authentizitdtserkennung und vorgenommenen 
Zugriffsart Im einzelnen speicherbar Ist 

Eine vorzugsweise Gestaltung des ersten Teils der Speichereinrichtungen kann einen 
Dokumentationsberelch enthalten, in dem die im Laufe des Lebens des Inhabers der 
Speichereinrichtungen anfallenden relevanten Gesundheits-ZKrankheitsdaten ein- 
schlieaiich /Vnamnese, Diagnosen, Befunde wie Labor-. Blutdruckwerte. etc. speicher- 
bar sind. 

Eine vorzugsweise Gestaltung des zweiten Teils der Speichereinrichtungen kann einen 
Dokumentationsbereich enthalten. in dem alle Originaluntertagen von Arztberichten, 
Zeugnissen, Rontgen-. Ultraschall-. Computertomographie-. Endoskopieabbildungen 
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usw.. Biosignale, wie EKG- und EEG-Daten etc., direkt Oder als Graphiken u.d. spei- 
cherbar sind. 

Ein Zugriff auf die vorgenannten Dokumentationsbereiche ist zumindest sowett durch 
die Berechtigungsprufeinrichtungen einzetn oder in Kombination mrt einer Arztkennung, 
wetche vorzugsweise ait>er eine spezlelle Arztkarte oder eine Arzt-Zugriffsge- 
r^tekennung in die Berechtigungsprtlfeinrichtungen eingebbar ist, mit einer Inhaber- 
kennung und/oder einer Krankenkassenkennung freigebbar. 

Auch der zweite Teit der Speichereinrichtungen kann bei einer bevorzugten Ausgestal- 
tung einen Nachweisdatenspeicherbereich enthatten, der grundsStzlich genauso funk- 
tioniert, wie der Nachweisdatenspeicherbereich Im ersten Teil der Speichereinrichtun- 
gen. Eine vorteilhafte Weiterbildung davon besteht darin, da& der Nachweisdatenspei- 
cherbereich tm ersten Teil der Speichereinrichtungen schieberegisterartig aufgebaut ist, 
so da& sein 3ltester Inhalt zur insbesondere endgOttigen Abspeicherung in den Nach- 
weisdatenspeichert)ereich des zweiten Teils der Speichereinrichtungen zur Platzschaf- 
fung fDr einen Neueintrag im Nachweisdatenspeicherbereich im ersten Teil der Spei- 
chereinrichtungen Platz verschiebbar ist. Damit kdnnen die Nachweisdaten jederzeit 
gespeichert werden. Es kann inst>esondere auch bei anderen Einsatzgebieten des per- 
sdnlichen Archivierungssystems nach der Erfindung vorgesehen werden, da& nur die 
letzten etwa drei bis fOnf Zugriffsinformationen gespeichert bleiben und ditere Zugriffs- 
informationen geloscht werden. 

Vorteilhafterweise kann eine bereits bestehende und bei der Bevdlkerung eingefuhrte 
Karte, wie eine Krankenversicherungskarte, ein Personalausweis oder eine Kontokarte, 
die Speichereinrichtungen des erfindungsgemd&en Personendaten-Archivierungssy- 
stems ganz oder teitweise aufnehmen. 

FDr eine weitere Erii6hung der Sicherheit der archivterten Daten ist es bevorzugt, daG 
mittels den Berechtigungsprufeinrichtungen ein insbesondere tumusmd&iger Ken- 
nungswechsel einer Anwender- und/oder Geratekennung zur Berechtigungs- und/oder 
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Authentizttatserkennung berOcksichtigt werden kann. Dabei wird vorzugsweise mittels 
den BerechtigungsprUfeinrichtungen eine Authentizitats- und/oder BerechtigungsprO- 
fung von Anwender, ZugtiffsgerSten und/oder Speichereinrichtungen fOr einen beab- 
sichtigten Zugriff durchgefuhrt 

Die Venwendungsm^glichkett der Daten im Personendaten-Archiviemngssystem nach 
der Erfindung wird waiter dadurch optimtert. daa die Speichereinrichtungen eine Mehr- 
zahl von Bereichen enthalten, denen unterschiedliche Zugriffssicherungen, wie Pass- 
wfirter, PINs o.a. zugeordnet werden kOnnen. 

Etn besonderer weiterer Schutz kann bei der Erfindung vorteilhaft fOr Schreibzugriffe 
vorgesehen sein, indem Speicherungen von neuen oder geSnderten Daten auf die 
Speichereinrichtungen dort nur nach Eingabe einer Signatur zusammen mit dieser ab- 
speicherbar sind. und daft letztere vorzugsweise durch eine Anwender- und/oder Zu- 
griffegeratekennung insbesondere automatisch erzeugt wird. 

Nachfblgend werden einige weitere bevorzugte AusfOhrungsfomien angegeben. die 
sich aus verschiedenen Merkmalskombinationen der Unteranspruche ergeben. 

Beispielsweise als Patientenkarte kann eine Prozessor-Chipkarte Venwendung finden. 
die sowohl zumindest einen Teil der BerechttgungsprQfeinrichtungen in Forni des Pro- 
zessors als auch einen ersten Teil der Speichereinrichtungen auf dem Chip enthait. urn 
ein Patientendaten-Archivierungssystem zu realisieren. Mit einer derartigen Prozessor- 
Chipkarte kann der Infonnationsaustausch im Medizinbereich verbessert werden. In 
erster Linie dient die Prozessor-Chipkarte dabei als Kontroll- und Sicherheitselement. 
und die Speicherfunktion ist insbesondere auf Grund der Qblichenweise geringen Spei- 
cherkapazitat solcher Karten zweitrangig. Das erfindungsgennafte System enthait daher 
neben der Karte einen mobilen eigentlichen Datenspeicher, wofur sich beispielsweise 
eine magneto-optische Piatte in Form einer 2,5-Zoll.Diskette eignet Diese Datentrager 
sind so klein und handlich wie eine Chipkarte. verfQgen aber uber eine Speicherkapazi- 
tat von beispielsweise 140 Megabyte und sind wiederbeschreibbar. 
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Die durch die Erfindung geschaffene Sicherheit wird technologisch durch die Kombina- 
tion der Prozessor-Chipkarte mit einem bezuglich dieser exlemen Massendatenspei- 
cher erreicht. Der Zugriff zu dem Massendatenspeicher erfolgt ausschlieBlich uber die 
Prozessor-Chipkarte mit ihren Sicherheitseinrichtungen zur Berechtigungsprufung und 
Zugriffsfreigabe. Damit sind die Daten z.B. auf der magneto-optischen Platte in gleicher 
Weise geschOtzt, als ob sle auf der Prozessor-Chipkarte selbst abgelegt waren. 

Somit hat ein Patient in dieser Zeit der zunehmenden medizinischen Aufeplittung mehr 
als nur einen medizinischen Ausweis und wird in die Lage versetzt. seine relevanten 
Krankheitsdaten selbst komplett zu dokumentieren, urn sie dann beispielsweise dem 
jeweils behandelnden Arzt oder seiner Versicherung zur Verfiigung stellen zu kOnnen. 
Die durch die Erfindung somit allgemein mSgliche umfassende persbniiche und insbe- 
sondere medizinische Datensammlung in der Hand des Patienten trSgt zu einer Ver- 
besserung des Infbrmationsaustausches z.B. zwischen den Arzten bei. Gleichzeitig ist 
sie, urn beim Beispiel des Patientendaten-Archivierungssystems zu bleiben, ein Instru- 
ment zur Qualitatssicherung der arztlichen Leistung und dient einer ganzheitlichen Be- 
treuung des Patienten. Die Vermeidung von Datenverlusten z.B. bei einem Arztwechsel 
fOhrt zu einer Reduzierung der erforderlichen Untersuchungen und damit zu einer Ent- 
lastung. gesundheitsmaBig beim Patienten und kostenmaSig bei den Krankenkassen. 

Eine Datensammlung Qber die Krankengeschichte darf sich aber nicht in einer Aufli- 
stung von anamnestischen Daten. Diagnosen oder durchgefOhrten Untersuchungen 
erschSpfen. Jeder weitert)ehandelnde Arzt mochte zumindest die kompletten Arzt- und 
Krankenhausberichte einsehen. und haufig will er verstandlichenweise auch nicht dar- 
auf verzichten, die Originalaufeeichnungen und -befunde betrachten zu kdnnen. Eine 
solche umfassende Datensammlung ware aber auf einer herkommlichen Prozessor- 
Chipkarte alleine nicht realisiert)ar. sondem nur in Kombination mit einem typischen 
Datenspelcher, fQr den es ohne die Erfindung keinen ausreichenden Datenschute ga- 
be. 
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In Fortfuhrung des vorbeschriebenen Ausfuhrungsbeispiels kann die Prozessor-Chip- 
karte zundchst als Notfall-Ausweis fungreren. Neben den typischen Notfaltdaten kann 
derentsprechende Speicherteil bei Interesse auch als zum Speichem eines Organ- 
spendeausweises oder Notfalltestaments eingesetzt werden. Mdgliche Zugriffsregelun- * 
gen hierfOr wurden bereits waiter oben beschrieben. Durch die Mitwirkung des Inhabers 
Qber einen ZugriffsschlQssel, wie ein Passwort oder eine PIN wird daraus eine umfas- 
sende Ausweiskarte mit den wesentlichen medizinischen (oder bei anderen Anwen- 
dungsfailen Finanz-, Versicherungs-, "Kleingeldguthaben-") Basisdaten. Zusammen mit 
dem Z.B. eiektronischen Massenspetchennedium fQr die Komplettdaten erhdit der Pati- 
ent eine vollstdndige Sammlung von wichtigen Krankheitsdaten, wobei die Arztberichte. 
Bilder (beispielsweise ROntgen- und Uttraschallbitder) und Biosignale (EKG u.a.) im 
Original vortiegen. Aus praktischen Oberlegungen kann die Mitwirkung des Patienten 
bet der Zugriffefreigabe fOr einen Arzt, der sich z.B. neben seinem Kartenlesegerdt und 
seinem Laufwerk fur die BerechtigungsprQfeinrichtungen beispielsweise mit einer 
Arztkarte identiftziert hat, darauf beschrdnkt werden, daft auf der Prozessor-Chipkarte 
ein Foto des Patienten den Kartenlnhaber ausweist. 

Es kann femer eine automatisch arbeitende Einrichtung vorgesehen sein, die dafOr 
sorgt. dad der Speicher etner gefQIIten Prozessor-Chipkarte durch Auslagem von Daten 
auf z.B. eine zugehdrige MO-Platte wieder zum Aufnehmen werterer neuer Daten bereit 
ist 

Weiterhin ist bei der AusfUhrung mit der Prozessor-Chipkarte als Kontroll- und Sicher- 
heitsinstrument eine Ausstattung mit einem Coprozessor me>glich, durch den fur das 
Sicherfieitskonzept eine Authentifikation von Terminal, Karte und Benutzer sowie eine 
Dokumentation Qber jeden Zugriff auf die abgelegten Daten erfolgen kann. 

Als BerechtigungsprOfeinrichtungen und deren PrOfmittel sind insbesondere Prozes- 
soreinrichtungen vorzugsweise auf einem Teil der oder allgemein den Speichereinrich- 
tungen und/oder aber in einem SteuenBchner oder Zugriffsgerat und geeignete Pro- 
gramme bzw. Zugriffsgerdte-, Speichereinrichtungs-, Inhaber- und Anwenderkennun- 
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gen zu nennen. Die Sicherung kann beispielsweise femer auch oder zusatzlich dadurch 
erreicht werden, da& die Kennungen getrennter Speichervomchtungen und Insbeson- 
dere Datentrdger kombinlert warden mussen. urn auf geschOtzte Daten zugreifen zu 
konnen. Femer kOnnen die Daten direkt in lauflShigen Programmdateien enthalten 
sein, deren Aufruf von bestimmten Kennungen abhSngt. Der erfindungsgemd&e 
Grundschutz wird aber dadurch erreicht, daC^ ein Zugriff vom Prufergebnis der Berech- 
tigungsprOfeinrichtungen abhdngt. 

Das erfindungsgemd&e System kann zwar z.B. eine Arztkartei schon wegen der beste- 
henden Dokumentationspflicht nicht ersetzen. Die Erfindung schafft aber eine wichtige 
Ergdnzungsmdglichkeit beispielsweise zur Arztkartei, da durch das Patientendaten- 
Archfvierungssystem sdmtliche relevanten Daten vollstandig, unverfSlscht und unmittel- 
bar zur VerfDgung stehen. FOr die digttale Archivierung spricht femer, da& zahlreiche 
Daten bereits jetzt. zumindest aber kOnftig, von vomherein in digitaler Form vorliegen, 
wie ROntgenbiWer. Uttraschallaufhahmen, EKG, EEG, Arzberichte usw. 

Weitere vorteilhafte und bevorzugte Ausgestattungen der Erfindung ergeben sich durch 
die AnsprOche und deren Kombtnationen. 

Nachfolgend werden Einzetheiten der Erfindung unter Bezugnahn^ auf die Zeichnun- 
gen ndher angegeben. in denen: 

Figur 1 eine schematische Darstellung von Systemkomponenten eines Personendaten- 
Archivierungssystems zeigt. 

Figuren 2a - 2c tabellarische Darstellungen mOglicher Aufteilungen der Speichereinrich- 
tungen sind, und 

Figur 3 ein Blockschaltbild des Aufbaus von Figur 1 ist. 
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In den Figureh 1 und 3 ist ein Personendaten-Archivierungssystem 1 gezeigt. Das Sy- 
stem 1 enthait transportable Oder mobile, pers6nliche Spelchereinrichtungen 2 zum 
Speichem und Aufbewahren von Personendaten beim Inhaber. Die Speichereinrich- 
tungen enthalten erste und zwette getrennte DatentrSger 8 und 9, die einzelne Spei- 
chervonichtungen als ersten und zweiten Teil 6 bzw. 7 der Speichereinrichtungen 2 
bilden. 

Zum Zugreifen auf die einzelnen Datentrdger 8, 9 ist ein Zugriffegerdt 12 gezeigt. das 
ein kombiniertes Lesegerat und Laufwerk fUr die beiden Datentrager 8, 9 darstellt Fer- 
ner ist das Zugriffegerat 12 auch ausgelegt, eine Berechtigungskarte 13 zu lesen. 

Der erete Datentrflger 6 ist eine Prozessor-Chlpkarte und dient sowohl zur Speicherung 
klelnerer Datenmengen, beispielsweise eines Notfaltausweises, von Obersichtsdaten 
und/oder Behandlungsdaten des Inhabers und von Nachwelsdaten erfolgter Speicher- 
zugriffe, als auch als Bestandtell von BerechtigungsprOfeinrichtungen 3, wofOr die Pro- 
zessorelnrichtungen 10 der Karte eingesetzt werden. Wie insbesondere der Figur 3 
deutlich zu entnehmen ist. sind im Zugriffegerat 12 weitere Prozessoreinrichtungen 10 
vorgesehen, die ebenfalls Bestandteil der BerechtigungsprOfeinrichtungen 3 zur Fest- 
stellung einer Zugriffsberechtigung sind. 

Der zweite Datentrager 7 ist eine magneto-optlsche Platte und emittglicht so eine Spei- 
cherung groBer Datenmengen zur Speicherung von DetaikJaten. AuOerdem ist durch 
die Prozessoreinrichtungen 10 eine Steuerung vorgesehen. um zu vermeiden. daft die 
Prozessor-Chipkarte speichermaBig voll ist und keine weiteren Daten mehr aufnehmen 
kann. wofur Daten von der Prozessor-Chipkarte immer wieder auf die magneto-opti- 
sche Platte ausgelagert werden. 

Die den Speichereinrichtungen 2 zugeordneten BerechtigungsprOfeinrichtungen 3 die- 
nen der Datenslcherheit. da sie dafOr sorgen, daB nur in Abhangigkeit von einer positi- 
ven Berechtigungs- und/oder Authentizitatsericennung ein Zugriff auf zumindest einige 
der auf den personlichen Speichereinrichtungen 2 gespeicherten Personendaten frei- 
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gegeben werden kann. Bei dem gezeigten AusfQhmngsbeispiel sind hierfQr die einzel- 
nen Prozessoreinrichtungen 10 und spdter noch genauer angegebene Kennungen zu- 
stdndig. 

Die BerechtigungsprQfeinrichtungen 3 des gezeigten AusfOhmngsbeisptels sind so 
ausgefOhrt. daB sie einen tumusmd&iger Kennungswechsel einer Anwender- und/oder 
Geratekennung zur Berechtigungs- und/oder Authentizitdtserkennung berticksichtigen 
und eine Authentizitdts- und/oder Berechtigungsprufung von Anwender. Zugnffsgerdten 
und Speicherelnrichtungen 2 fur einen beabsichtigten Zugriff durchfUhren. Weiterhin 
kOnnen Schreibzugriffe auf die Speichereinrichtungen 2 dort nur nach Eingabe einer 
Signatur zusammen mit dieser abgespeichert werden, wobei dtese Signatur durch eine 
Anwender- bzw. Zugnffegerdtekennung automatisch unter Nutzung des RSA-Verfah- 
rens erzeugt wind. 

Das gezetgte Archivierungssystem 1 ist so ausgelegt, daf& nur in Verbindung mit dem 
ersten Tei) 6 der Speichereinrichtungen 2 auf den zweiten Teil 7 der Speichereinrich- 
tungen 2 zugegriffen werden kann. Es sind auch mehrere verschiedene PrQf- bzw. Be- 
rechtigungsstufen vorgesehen, urn den Zugriff auf verschiedene Datenbereiche zu re- 
geln. 

In einer ersten PrOfstufe wird nur eine Lesegerdtekennung QberprQft, um einen Zugriff 
auf Nottelldaten zuzulassen. In dieser oder einer hdheren PrOfstufe kann eventuell eine 
Berechtigungskarte fur den ZugrifF auf Daten erforderiich sein. die eine Obersicht Ober 
wertere persdnliche Daten des Inhabers der Chipkarte geben. Eine weitere PrOfetufe 
kann dadurch realisiert werden. dad auf die auf dem zweiten Teil 7 der persdnlichen 
Speichereinrichtungen 2 gespeicherten Personendaten, wie Detaildaten. nur in /Vbhan- 
gigkeit von einer positiven Berechtigungs- und/oder Authentizitdtsertcennung mittels der 
BerechtigungsprOfeinrichtungen 3 zugreifbar ist. Eine solche Kennung kann z.B. fol- 
gende lnfonfnatk>nen alleine oder kombiniert berucksichttgen: eine Lesegerdtekennung. 
eine Laufwericskennung. eine Datentrdgeri^ennung. eine Anwendericennung. eine In- 
habericennung. Insbesondere die beiden letzteren kGnnen auch durch PINs 
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(persGnliche Identifizierungsnummem) Oder Geheimzahlen o.a. realisiert werden, wobei 
verschiedene Eingaben zu unterschiedlichen Berechtigungsstufen fuhren kdnnen. Die 
einzelnen PrOfstufen der Berechtigungspriifeinrichtungen 3 kSnnen beispielsweise auch 
dafiir genutrt werden, urn fur Schreib- und Lesezugriffe jeweils unterschiedliche Be- 
rechtigungen zu vergeben. 

Im Zusammenhang mit dem Kartenlesegerdt wird durch die Berechtigungsprufeinrich- 
tungen 3 die Authentizitat der Prozessor-Chipkarte uberprOft Dabei kOnnen z.B. ge- 
laischte Karten abgewiesen werden. Ebenso wird anhand der Prozessor-Chipkarte 
mittels der BerechtigungsprQfeinrichtungen 3 eine OberprOfung des KartenlesegerSts 
durchgefOhrt, so daB nicht autorisierte Lesegerdte Qbertiaupt keinen ZugrifF auf die 
Daten der Prozessor-Chipkarte und auch des Massenspeichers erhatten. Eine ahntiche 
gegenseitige AutorisierungsQberpriifung kann auch fOr die magneto-optische Platte und 
das entsprechende i-aufwerk vorgesehen sein. 

Im einzelnen werden die Identifikationsmerkmale des Kartenlesegerats (z.B. Unikat-Nr.) 
und des Laufwerks fOrdie magneto-optische Platte erfafit (z.B. Laufwert^kennung) er- 
fadt und die entsprechenden Daten auf oder in dem Speicher der Prozessor-Chipkarte 
gespeichert, sobald das Lesegerat oder das Laufweric auf gespeicherte Daten zugreift 
Sollte die Kapazitm des entsprechenden Speichers auf der Prozessor-Chipkarte nicht 
ausreichen. werden altera Daten auf die MO-Platle ausgelagert oder geldscht. Durch 
eine Ertassung der Benutzeridentifikation (Anwender- und Inhaberkennungen) wird ge- 
trennt fOr die Prozessor-Chipkarte und die MO-Platte jeglicher Zugriff auf die gespei- 
cherten Daten erfaBt. Altemativ oder auch erganzend zu anderen Identifikatwnsmerk- 
malen. wie der Lesegeratekennung oder einer Benutzerkennung. kann eine Berechti- 
gungskarte zur Autorisierungsprufung benOtigte Daten bereitstellen. die den Benutzer 
ausweisen und ebenfalls gespeichert werden kdnnen. urn dort. wo verschiedene Be- 
nutzer auf das gleiche Kartenlesegerat zugreifen, wte z.B. in einem Rettungswagen, 
eine einfache. schnelle und sichere Berechtigungsertcennung zu ennoglichen. 
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Die umfangreichen Daten auf dem zweiten Teil 7 der Speichereinrichtungen 2, also 
beispielsweise Bilddaten auf der MO-Platte. kfinnen nurdann gelesen weiden. v>ienn 
ein Benutzer beispielsweise Ober entsprechende Programmteile verfOgt. was aber erst 
nach posiBver Authentizitatsprilfung mSglich 1st. 

Als weiteren Sicherheitsaspekt enthait das Zugriffegerat 12 in dem gezeigten Beispiel 
Kryptoeinrichtungen 11. diefOreine EntschlQsselung und VerschlOsselung bei Lese- 
bzw. Schreibzugriffen auf die Teile 6 und 7 der Speichereinrichtungen 2 sorgen und 
beispielsweise zur Bearbeitung von groOen Datenmengen zumindest einen als Copro- 
zessorausgelegten Kryptoprozessor enthalten. Die Kryptoeinrichtungen 11 sind den 
Speichereinrichtungen 2 vorgeschaltet und werden betriebsmaBig mittels der Berechti- 
gungspriifeinrichtungen 3 zur Bearbeitung von Zugriffen auf die Speichereinrichtungen 
2 freigegeben. Die zwischen einzelnen Speicheivorrichtungen bzw. deren Zugriffsein- 
richtungen 12 und den Rechnereinrichtungen 14 transferierten Daten werden durch die 
Kryptoeinheit ent- bzw. verschliisselt. wobei letztere ebenfalls erst nach positiv ausge- 
fallener AuthentizitatsprOfung in FunWion tritt. Beim Aufruf einer Datei auf der IVIO- 
Platte wird diese automatisch entschliisselt. Umgekehit erfblgt eine automatische Ver- 
schlOsselung einer Datei. wenn sie auf die MO-Platte geschrieben wird. Die entspre- 
chenden Dateinamen sind beim System 1 ohne die Freigabe durch die Berechtigungs- 
prOfeinrichtungen 3 nicht lesbar und auf der Prozessor-Chipkarte hintertegt. Die hohe 
Datentransferrate kann durch die eigenstSndige Kryptoeinheit bewaitigt werden. 

Der erste Teil der Spefehereinrichtungen 2 bzw. die erste Speichervorrichtung 6 ist 
nicht auf die vorbeschriebenen AusfQhrung beschrankt. sondem kann eine magneti- 
sche. magnetooptische oder optische Speicherfiache oder ein Speteherchip insbeson- 
dere auf oder in einer vorzugsweise etwa scheckkartengroBen Kunststoffkarte als Da- 
tentrager 8 sein. Ebenfalls ist die Ausgeslattung des zweiten Teils der Speichereinrich- 
tungen 2 bzw. der zweiten Speicheworrichtung 7 nicht auf eine magnetoKjptische Plat- 
te beschrankt. sondem kann jegHcher elektronische. magnetische. magneto-optische 
Oder optische Massenspeicher insbesondere in Fomi einer 2.5 oder 3.5 Zoll groBen 
Diskette oder einer PCMCIA-Einheit als Datentrager 9 sein. 
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Die Speichereinnchtungen 2 sind jeweils durch ein zum Hinzufugen und/oder Andem 
von Personendaten wiederbeschreibbares Speichermedium 4, 5 entsprechend den 
Datentrdgem 8, 9 gebildet. Fur bestimnrte Anwendungszwecke sind wenigstens Teile 
der beiden beschreibbaren Speichermedien 4. 5 schreibgeschOtzt oder schreibschQtz- 
bar. Hierdurch kOnnen beispielsweise unverdnderliche Eintragungen vor versehentli- 
chen Qberschreibungen geschOtzt werden. Auch Bereiche des Speichermediums 5 des 
zweiten Datentrdgers k6nnen aus dem gleichen Gmnd schreibgeschOtzt Oder schreib- 
schOtzbar seln. urn z.B. nachtrdgliche Anderungen in der Zugriffsdokumentation auszu- 
schlie&en. 

Die Prozessoreinrichtungen 10 erfOllen neben ihrer Au^abe zur Berechtigungsiiberprii- 
fung noch die Steuerung von zumindest Tellen der Speichereinrichtungen 2 und/oder 
die wenigstens teilweise Steuerung von Zugrrffien auf letztere. 

Nicht gesondert gezeigt sind Kopierschutzeinrichtungen. Druckausgabeschutzeinrich- 
tungen und Ausgabebeschrdnkungseinrichtungen, die ein unenArOnschtes Kopieren. 
Drucken oder andersartiges Ausgeben von den Speichereinrichtungen 2 entnommenen 
Oaten verbindem. wenn diese entsprechenden Einrichtungen nicht durch einen geeig- 
nete Berechtigungsnachweis den Berechtigungsprufeinrichtungen gegenuber neutrali- 
siert, d.h. abgeschaltet sind. 

Statt des oder zusdtzlich zum gezeigten Zugriffsgerdt 12 kdnnen fOr die einzelnen Da- 
tentrdger 8 und 9 sowie die Berechtigungskarte 13 gesonderte ZugriffsgerSte vorgese- 
hen sein, beispielsweise persdnliche. mobile und/oder stationdre Zugrif^er^te. Das 
Zugriffsgerdt 12 ist sowohl fOr die Prozessor-Chipkarte als auch die magneto-optische 
Platte in Minidisk-Form fur einen Schreit)- und/oder LesezugrifF ausgelegt. 

Jedes einsetzbare Zugriffsgerdt 12 enthdlt zweckmd&igenA/eise entsprechend den 
Formaten von die Speichereinrichtungen 2 aufnehmenden Datentrdgem Kartenlesege- 
r^te far z.B. Magnetstreifien- oder Chipkarten. Diskettentaulwerke fur z.B. magnetische. 
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magneto-optische oder optische Disketten, CD-ROM-Laufwerke und/oder Aufnahmen 
fur PCMCIA-Einheiten. Auch bei getrennter AusfQhmng der Zugriffsgerdte 12 fur die 
ersten und zwerten Telle 6, 7 der Speicherelnrichtungen 2 kdnnen diese Gerdte 12 zu- 
sammengeschattet und Qber diese Zusammenschattung von den Berechtigungsprti- 
feinrichtungen 3 ein entsprechender Berechtigungsnachweis erfa&t werden. 

Zur Erstellung von SIcherungskopien. die bet Verlust der Speicherelnrichtungen 2 einen 
vollstdndigen Datenvertust verhindem. lassen die Zugrif^erdte 12 direkt oder die Be- 
rechtigungsprOfeinrichtungen 3 ohne Berechtigungsnachweis eine Erstellung von SI- 
cherungskopien der transportabten. persdnllchen Speicherelnrichtungen 2 zu. HIerfOr 
ktinnen z.B. flQchtige Speicherelnrichtungen in dem entsprechenden ZugrifFsgerSit 12 
enthalten seln. um Daten zum Kopteren zwtschenzuspeichem. 

Wie den Figuren 1 und 3 weiter zu entnehmen ist. ist zum Ansteuem des Zugriffsgerats 
12 eine Rechnereinrichtung 14 in Form eines PCs voigesehen. Diese Rechnereinrich- 
tungen 14 dienen femer als Anzeige- und Ein-/Ausgabegerate von Daten sowohl fQr die 
BerechtlgungsprQfelnrichtungen 3 als auch die Speicherelnrichtungen 2. um Daten zu 
suchen, auszugeben und einzugeben. 

Das In der Figur 1 dargestellte Zugriffegerat 12 ist Qber eine Leitung mit einer nicht nS- 
her bezeichneten eigenen Tastatur und Ober eine wertere Leitung an geeigneten Da- 
tenschnittstellen mit den Rechnereinrichtungen 14 verbunden. Die Rechnertastatur 
und/oder die Zugriffsgeratetastatur kann zum EIngeben von PINs u.a. venwendet wer- 
den k6nnen. Femer Ist das Zugriffegerat 12 mit nicht nflher bezeichneten Displayein- 
richtungen versehen. 

Der erste DatentrSger 8 ist gleichzeitig eine Krankenversicherungskarte und das ge- 
samte System 1 dient zur Archivierung von Patientendaten einschliefilich schrifliicher 
und graphlscher Unteriagen beim Inhaber. Jedoch kdnnen auch andere Daten mit dle- 
sem Oder ahnlichen Systemen archiviert werden. wie beispielsweise Finanzdaten, Ver- 
sicherungsdaten, Reisedaten u.v.m. 
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FQr den Anwendungsfall des Patientendaten-Archivierungssystems ist in den Figuren 
2a - 2c tabeliarisch eine Speicherorganisation dargestetlt. Die Figur 2a zeigt die Orga- 
nisationsstruktur der beiden Datentrdger. die Figur 2b gibt Aufschlu& Qber den Inhatt 
der enthaltenen Notfallkarte und die Figur 2c eriautert den Inhalt der patientenkarte, 
wobei die verschiedenen Speicherberetche direkt bezeichnet sind, so da(^ keine werte- 
ren Eriduterungen zu ihrem Verstdndnis erfbrderlich sind. In der Praxis kttnnen einzelne 
FeMer und Eintrdge Qber die Rechnereinrichtungen 14 mittels MenQ- oder Fenster- 
technik aufgerufen werden. 

Wenn vorstehend auf ein Patientendaten-Archiviemngssystem, Patientendaten und 
allgemein den Medizinbereich Bezug genommen wurde. so ist dies nur exemplarisch zu 
verstehen. Die Erfindung betrifft ein Personendaten-Archivierungssystem, das durch 
die in den AnsprOchen angegebenen Merkmale und Merkmalskombinationen bestimmt 
und nicht auf einzelne AusfDhrungsbeispiele der Beschreibung beschrdnkt ist. So kdn- 
nen z.B. mehr als zwei (separate) Speichereinrichtungsteile vorgesehen sein, wobei 
beispielsweise eine einzige Prozessorkarte mtt mehreren MO-Ptatten fOr je ein eigenes 
Sachgebiet zusammenarbeiten kann. Insbesondere sind alle durch die Merkmalsformu- 
lierungen in den AnsprOchen enthaltenen Ausfiihrungsmdglichkeiten der Erfindung oh- 
ne Einschrdnkungen und mrt den dem Fachnriann geldufigen Modifikationen und Substi- 
tutionen im Umfang der Erfindung abgedeckt. 
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AnsprOche 



1 . PersonendateivArchivierungssystem mit transportablen. persdnlichen Spei- 
chereinrichtungen zum Speichem und Aufbewahren von Personendaten beim 
Inhaber, 

dadurch gekennzeichnet, 

dad den Speichereinrichtungen (2) Berechtigungspriifeinrichtungen (3) zugeord- 
net sind. mittels denen nur in AbhS^ngigkeit von einer positiven Berechtigungs- 
und/oder Authentizitdtserkennung ein Zugriff auf zumindest einige der auf den 
persdnlichen Speichereinrichtungen (2) gespeicherten Personendaten fireigebbar 
ist. 



2. Personendaten-Archivierungssystem nach Anspruch 1 , 

dadurch gekennzeichnet 
da& mittels den BerechtigungsprOfeinrichtungen (3) eine Mehrzah) von PrOfstu- 
fen ausfQhrbar ist. 



3. Personendaten-Archivierungssystem nach Anspruch 1 Oder 2, 

dadurch gekennzeichnet, 
da& zumindest ein Teil der Speichereinrichtungen (2) durch ein zum IHinzufugen 
und/oder Andem von Personendaten beschreibbares und insbesondere wieder- 
beschreibbares Spetchermedium (4, 5) gebildet ist. 



4. Personendaten-Archivierungssystem nach ifVnspruch 3, 

dadurch gekennzeichnet, 
da& die BerechtigungsprQfeinrichtungen (3) zum Freigeben eines Lese- und/oder 
Schreibzugriffs auf das t>eschreibbare Speichermedium (4. 5) In Abhdngigkeit 
von einer inst)esondere entsprechenden Berechtigungs- und/oder Authentizi- 
tdtserkennung ggf in einer zugehdrigen Prufstufe ausgelegt sind. 



5. 



Personendaten-Archivierungssystem nach Anspruch 3 oder 4, 
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dadurch gekennzeichnet, 

daa zumindest ein Teil des beschreibbaren Speichermediums (4, 5) schreibge- 
schQtzt cxier schreibschQtzbar ist. 

6. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

daB die Speichereinrichtungen (2) einen ersten Teil (6) und zumindest einen 
zweiten Tei! (7) mit insbesondere unterschiedlichen Speicherkapazitaten enthak 
ten. 

7. Personendaten-Archivierungssystem nach Anspruch 6, 

dadurch gekennzeichnet 
da& der erste. insbesondere kapazitaismaStg kleinste Teil (6) der Speicherein- 
richtungen (2) ein Ausweis-, Identrfikations- oder Stammdatenspeicherteil ist. 

8. Personendaten-Archivierungssystem nach Anspruch 6 oder 7, 

dadurch gekennzeichnet 
da& auf die auf dem ersten Teil (6) der persOnlichen Speichereinrichtungen (2) 
gespeicherten Personendaten, wie Ausweis-, Identifikations- oder Stammdaten, 
unabhangig von den BerechtigungsprOfeinrichtungen (3) oder mit einer positiven 
Berechtigungs- und/oder Authentizitatserkennung in einer ersten Prufetufe der 
BerechtigungsprOfeinrichtungen (3) zugreifbar ist. 

9. Personendaten-Archivierungssystem nach einem der Anspruche 6 bis 8, 

dadurch gekennzeichnet, 
da& nur in Veriaindung mit wenigstens dem ersten Teil (6) der Speichereinrich- 
tungen (2) auf den zumindest einen zweiten Teil (7) der Speichereinrichtungen 
(2) zugreifbar ist. 



10. 



Personendaten-Archivierungssystem nach einem der AnsprOche 6 bis 9. 
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dadurch gekennzeichnet, 

daQ der zweite, retativ zum ersten Teil (6) kapazftdtsmd&ig grO&ere Teil (7) der 
Speichereinrichtungen (2) ein Detaildatenspeicherteit ist 

5 11. PersonendatervArchiviemngssystem nach einem der AnsprUche 6 bis 1 0, 

dadurch gekennzeichnet, 
da& auf die auf dem zweiten Teil (7) der persdnlichen Speichereinrichtungen (2) 
gespeicherten Personendaten, wie Detaildaten, nur in Ablidngigkeit von einer 
positiven Berechtigungs- und/oder Authentizitdtserkennung ggf. in einer zwerten 

0 Prufstufe mittels der BerechtigungsprQfeinrichtungen (3) zugreifbar ist. 

12. Personendaten-Archivierungssystem nach einem der Anspruche 6 bis 1 1 , 

dadurch gekennzeichnet, 
da& die wenigstens ersten und zweiten Telle der Speichereinrichtungen (2) 
5 durch separate erste bzw. zweite Speichervonichtungen (6. 7) insbesondere auf 

verschiedenen ersten bzw. zweiten Datentrdgem (8, 9) gebildet sind. 

1 3. Personendaten-Archivierungssystem nach einem der AnsprOche 6 bis 1 2. 

dadurch gekennzeichnet, 
» da& der erste Teil der Speichereinrichtungen (2) bzw. die erste Speichervorrich- 

tung (6) eine magnettsche, magneto-optische Oder optische Speicherfldche Oder 
ein Speicherchip insbesondere auf Oder in einer vorzugsweise etwa scheckkar- 
tengro&en Kunststoffkarte als Datentrdger (8) ist. 

Personendaten-Archivierungssystem nach einem der Anspruche 6 bis 13. 

dadurch gekennzeichnet, 
da(i der zweite Teil der Speichereinrichtungen (2) bzw. die zweite Speichen/or- 
richtung (7) ein elektronischer, magnetischer, magneto-oplischer oder optischer 
Massenspeicher insbesondere in Fomn einer 2.5 oder 3.5 Zoll grof&en Diskette 
Oder einer PCMCIA-Einhert als Datentrager (9) ist. 



» 14. 



30 
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15. Personendaten-Archiviemngssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

da& zumindest einem Teil der Speichereinrichtungen (2) zugeordnete und/oder 
vorzugswelse wenigstens einen Teil der BerechtigungsprQfeinrichtungen (3) bil- 
dende Prozessoreinrichtungen (10) vorgesehen sind, die vorzugsweise auf dem 
Datentrager (8). wie z.B. einer Kunststoffkarte, angeordnet sind und insbesonde- 
re einen Prozessor enthalten. 

16. Personendaten-Archivierungssystem nach den Anspruchen 1 3 und 1 5, 

dadurch gekennzeichnet, 
dafi die Prozessoreinrichtungen (10) zur Steuerung von zumindest Teilen der 
Speichereinrichtungen (2) und/oder zur wenigstens teilweisen Steuerung von 
Zugriffen auf letztere und/oder zumindest als Teil der BerechtigungsprOfeinrich- 
tungen (3) ausgelegt sind. 

1 7. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

daS den Speichereinrichtungen (2) Kryptoeinrichtungen (11) vorgeschaltet sind. 
deren Betrieb insbesondere mittels der BerechtigungsprQfeinrichtungen (3) zur 
Bearbeltung von Zugriffen auf die Speichereinrichtungen (2) freigebbar ist. 

1 8. Personendaten^Archivierungssystem nach Anspruch 1 5 oder 16 und Anspmch 
17, 

dadurch gekennzeichnet, 

daft die Kryptoeinrichtungen (11) in den Prozessoreinrichtungen (10) enthatten 
sind und vorzugsweise einen Kryptoprozessor aufweisen. 

19. Personendaten-Archivierungssystem nach einem der vortiergehenden AnsprO- 
che, 
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dadurch gekennzeichnet, 

da& Kopierschutzeinrichtungen vorgesehen sind, mittels denen ein Speichem 
von zumindest einigen Daten, die auf den pers6nlichen Speichereinrichtungen 
(2). insbesondere ggf deren zweiten Teil (7), gespeichert sind, auf bezQglich 
tetzteren extemen Speichem unterbindbar ist und/oder ein Speichem von zu- 
mindest einigen Daten. die auf dem ersten Teil (6) der Speichereinrichtungen (2) 
gespeichert sind. auf bezuglich letzteren extemen Speichem zula&bar sind. 

20. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprD- 
che, 

dadurch gekennzeichnet, 

dafi Druckausgak>eschutzeinrichtungen vorgesehen sind, mittels denen eine 
Dmckausgabe von zumindest einigen Daten unterbindbar ist. die auf den per- 
sdnlichen Speichereinrichtungen (2), inst>esondere ggf. deren zweiten Teil (7). 
gespeichert sind und/oder ein Drucken von zumindest einigen Daten zula(^bar 
ist, die auf dem ersten Teil (6) der Speichereinrichtungen (2) gespeichert sind. 

21 . Personendaten-Archivierungssystem nach einem der vortiergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

da& Ausgabebeschrdnkungseinrichtungen vorgesehen sind, mittels denen eine 
Ausgabe von zumindest einigen Daten. die auf den persdnlichen Speicherein- 
richtungen (2), insbesondere ggf. deren zweiten Teil (7), gespeichert sind, auf 
mehr als ein Ausgabemedium z.B. eines Rechners, wie zusdtzliche Bildschirme 
des Rechners oder eine Netzwerickarte des Rechners zur Verisindung mit weite- 
ren extern angeordneten Rechnem. unterbindbar ist, 

22. Personendaten-Archivierungssystem nach einem der Anspriiche 19 bis 21 , 

dadurch gekennzeichnet, 
da& die Kopierschutzeinrichtungen, Druckausgabeschutzeinrichtungen und/oder 
Ausgabebeschrankungseinrichtungen mittels der Berechtigungsprufeinrichtun- 
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gen (3) durch eine entsprechende positive Beiechtigungs- und/oder Airtheirtizi- 
tatseikennung ggf. In einer zugehOrigen PrOfetufe neutralisierbar sind. 

23. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

dafi die BerechtigungsprOfeinrichtungen (3) ausgelegt sind. Geratekennungen 
von Zugriffsgeraten (12) fQr die Handhabung der Speichereinrichtungen (2) in ei- 
ne Prilfung zur Berechtigungs- und/oder Authentizitatserkennung ggf. zur ErfDI- 
lung einer insbesondere ersten PrOfetufe einzubeziehen. 

24. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspro- 
che, 

dadurch gekennzeichnet, 

daK die persSnlichen Speichereinrichtungen (2) Kennungen aulweisen. die von 
den BerechtigungsprOfeinrichtungen (3) in eine PrOfung zur Berechtigungs- 
und/oder Authentizitatserkennung ggf. zur ErfOllung einer insbesondere ersten 
PrOfetufe einbeziehbar sind. 

25. Personendaten-Archiviemngssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

da& die BerechtigungsprOfeinrichtungen (3) ausgelegt sind. Benutzer- und/oder 
Inhaberidentifikationen von zumindest einetn Anwender bzw. dem Inhaber. des- 
sen Daten in den Speichereinrichtungen (2) archiviert sind. in eine PrOfung zur 
Berechtigungs- und/oder Authentizitatseri«nnung ggf. zur ErfOllung einer insbe- 
sondere zweiten PrOfetufe und ggf. weiterer Prflfetufen zur Freigabe eines Zu- 
griffe auf zumindest einige der auf den peisOnllchen Speichereinrichtungen (2) 
gespeicherten Personendaten einzubeziehen. 

26. PersonendatennArchivierungssystemnachAnspnich25. 
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dadurch gekennzeichnet 

da& die Berechtigungsprtifeinrichtungen (3) ausgetegt slnd, eine Anwenderken- 
nung, wie eine Benutzer- bzw. Inhaberidentifikation uber manuelle und/oder 
elektronische Eingaben, wie beispielsweise von einer Berechtigungskarte (13), 
durchzufOhren. 

27. Personendaten-Archivlerungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

daa durch die BerecbtigungsprOfeinrichtungen (3) zugelassene Zugnffe auf den 
Spelchereinrichtungen (2) mit den dafQr retevanten Daten, wie GerStekennungen 
von Zugriffsgeraten (12) und/oder Benutzer- und/oder Inhaberidentifikationen. 
insbesondere auf den Speichereinrichtungen (2) seibst dokumentierbar sind^ 

28. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

daa persOnliche Zugriffegerate (12) vorgesehen sind, mittels denen vom Inhaber. 
dessen Daten in den Speichereinrichtungen (2) archiviert sind, und/oder von 
Anwendem der Speichereinrichtungen (2) in AbhAngigkeit von einer insbesonde- 
re entsprechenden Berechtigungs- und/oder Authentizitatserkennung ggf. in ei- 
ner zugehdrigen Prufstufe auf zumindest einige der archivierten Daten zum 
Zweck der Information. Daten£knderung/-ergdnzung und/oder Weitergabe auch 
Qber DatenfiemQt)ertragung zugreifbar ist 

29. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

daG mobile und/oder stationdre Zugriffisgerdte (12) vorgesehen sind, mittels de- 
nen von Anwendem in Abhdngigkeit von einer Insbesondere entsprechenden 
Berechtigungs- und/oder Authentizitdtserkennung ggf. In einer zugehorigen 
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Prtifstufe auf zumindest einige der archivierten Daten zum Zweck der Information 
und/oder DatendnderungZ-ergSnzung zugreifbar ist. 

30. PersonendatennArchivierungssystenn nach Anspruch 28 oder 29, 

dadurch gekennzeichnet, 
daQ die Zugriffegerflte (12) fOr einen Schreib- und/oder Lesezugriff zumindest 
auf einige der auf den persOnlichen Speichereinrichtungen (2) gespeicherten 
Personendaten in Abhangigkeit von einer insbesondere entsprechenden Be- 
rechtigungs- und/oder Authentizitatserkennung ggf. in einer zugeh6rigen PrOfstu- 
fe ausgelegt sind. 

31 . Personendaten-Archivierungssystem nach einem der AnsprOche 28 bis 30. 

dadurch gekennzeichnet 
da& die Zugriffegerate (12) Geratekennungen aufweisen. die von den Berechti- 
gungsprOfeinrichtungen (3) zur PrOfung einer Berechtigungs- und/oder Authen- 
tizitatserkennungggf. zur Erfullung einer insbesondere ersten Prufstufe erfeBbar 
sind, und dafi die Geratekennung vorzugsweise durch eine in zumindest ein Zu- 
griffegerat (12) eingebbare Anwenderkennung aktivierbar ist. 

32. Personendaten-Archivierungssystem nach einem der AnsprOche 28 bis 31. 

dadurch gekennzeichnet, 
daB zum Ansteuem der Zugriffsgerate (12) herkOmmliche Rechnereinrichtungen 
(14) vorgesehen sind. 

33. Personendaten-Archivierungssystem nach einem der AnsprOche 28 bis 32. 

dadurch gekennzeichnet, 
daB die Zugriffsgerate (12) entsprechend den Fomiaten von die Speichereinrich- 
tungen (2) aufnehmenden Datentragem Kartenlesegerate fOr z.B. Magnetstrei- 
fen- Oder Chipkarten. Diskettenlaufwerke fOr z.B. magnetische. magneto- 
optische Oder optische Disketten. CD-ROM-Laulwerke und/oder Aufnahmen fur 
PCMCIA-Einheiten enthalten. 
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34. Personendaten-Archivierungssystem nach einem der Anspruche 28 bis 33, 

daduFch gokennzeichnet, 
da& zumindest zwei ZugriffegerSte (12) zur Zusammenschaltung von entspre- 
chenden DatentrSgem (8. 9) der Speichereinrichtungen (2) kombiniert srnd und 
diese Zusammenschaltung von den BerechtigungsprOfeinrichtungen (3) zum Be- 
rechtigungsnachweis oder ggf. ats eine erste PrQfstufe erfafibar ist. 

Personendaten-Archivierungssystem nach einem der AnsprOche 25 bis 34. 

dadurch gokennzeichnet, 
daa die Zugriffegerate (12) ausgelegt sind, ohne Berechtigungsnachweis oder 
ggf. in einer ersten PrOfetufe Sicherungskopien der transportablen. persGnlichen 
Speichereinrichtungen (2) zu erstellen. 

Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

daQ herkommliche Rechnerelnrichtungen (14) als Anzeige- und Ein-/Ausgabege- 
rSte von Daten vorgesehen sind. 

Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

dad es zum Speichem und Aufbewahren von Patientendaten. einschlie&lich 
schriftlicher und graphischer Unterlagen, beim Inhaber ausgelegt ist. 

PersonendatennArchivierungssystem nach den Anspruchen 6 und 37, 

dadurch gokennzeichnet, 
da& der erste Toil (6) der Speichereinrichtungen (2) einen Notfalldatenspeicher- 
bereich enthdit, in dem Venwattungsdaten und die Daten eines Notfallausweises, 
eines Organspendeausweises. Notfalttestaments u.a. des Inhabers speicherbar 
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sind und auf den ein Zugriff zumindest soweit durch die Berechtigungsprufein- 
richtungen (3) frei oder mit nur einer Arzt- oder Rettungsdienstkennung. die vor- 
zugsweise Ober eine spezielle Arzt- cxier Rettungsdienstkarte (13) oder eine 
Arzt-VRettungsdienst-Zugriffegeratekennung in die BerechtigungsprOfeinrichtun- 
gen (3) eingebbar ist, oder mit nur einer Inhaberkennung freigebbar ist. 

39. Personendaten-Archivierungssystem nach den AnsprOchen 6 und 37 oder An- 
spruch 38. 

dadurch gekennzoichnet, 

da& der erste Teil (6) der Speichereinrichtungen (2) einen Obersichtsdatenspei- 
cherbereich enthStt. in dem eine Auflistung wichtiger anamnestischer Daten, ein- 
schlteBiich einer ggf. erfolgten Verabreichung von Blut oder Blutprodukten und 
eine Dokunr^ntation wichtiger Gesundherts-ZKrankheitsdaten, einschlieSlich All- 
ergie-. Impf-, R6ntgen-, Schrittmacher-, Diabetiker-, Medikamentendaten u,a., 
analog einer flrztlichen Patientenkarte spekdierbar sind und auf den ein Zugriff 
zumindest soweit durch die BerechtigungsprQfeinrichtungen (3) frei oder einzein 
Oder in Kombination mit einer Arzt- oder Rettungsdienstkennung, die vorzugs- 
weise Qber eine spezielle Arzt- oder Rettungsdienstkarte (1 3) oder eine Arzt- 
/Retlungsdienst-Zugrrfffegeratekennung in die BerechtigungsprOfeinrichtungen (3) 
eingebbar ist. mit einer Inhaberkennung und/oder einer Krankenkassenkennung 
freigebbar ist. 

40. Personendaten-Archivierungssystem nach den AnsprQchen 6 und 37 oder An- 
spruch 38 oder 39, 

dadurch gekennzeichnet, 

da& der erste Teil (6) der Speichereinrichtungen (2) einen Behandlungsdaten- 
speicherbereich enthait, in dem ein vorgegebener zeitlicher Rahmen und eine 
vorgegebene Inhaltliche Stmktur von Vorsorgeuntersuchungen sowie Untersu- 
chungen im Rahmen der Nachsorge chronischer und/oder bosartiger Erkrankun- 
gen speicherbar sind und auf den ein Zugriff zumindest soweit durch die Berech- 
tigungsprtlfeinrichtungen (3) einzein oder in Kombination mit einer Arztkennung. 
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die vorzugsweise Ober eine spezieile Arztkarte (13) oder eine Arzt- 
Zugriffsger^tekennung in die BerechtigungsprQfelnrichtungen (3) eingebbar ist. 
mrt einer tnhaberkennung und/oder einer Krankenkassenkennung freigebbar ist. 

41 . Personendaten-Archivierungssystem nach den Anspmchen 6 und 37 oder einem 
der Anspruche 38 bis 40, 

dadurch gekennzeichnet, 
dad der erste Tell (6) der Speichereinrichtungen (2) einen Nachweisdatenspei- 
cherbereich enthdit, in dem zumindest eine vorgebbare Anzahl und/oder Art von 
Zugrtffen auf die Speichereinrichtungen (2) insbesondere einschtie&lich der je- 
weils erfolgten vorzugsweise individuellen Berechtigungs- und/oder Authentizi- 
tatserkennung und vorgenommenen Zugriffeart im einzeinen speicherbar ist und 
auf den ein Zugrfff zumindest soweit durch die BerechtigungsprOfeinrichtungen 
(3) einzetn oder in Kombinatkin mit einer Arztkennung. die vorzugsweise Qber 
eine spezieile Arztkarte (13) oder eine Arzt-Zugriffsgerdtekennung in die Berech- 
tigungsprOfeinrichtungen (3) eingebbar ist. mit einer Inhaberkennung und/oder 
einer Krankenkassenkennung freigebbar ist 

42. Personendaten-Archivierungssystem nach den Anspruchen 6 und 37 oder einem 
der AnsprOche 38 bis 41 , 

dadurch gekennzeichnet, 
da& der zweite Teil (7) der Speichereinrichtungen (2) einen Dokumentationsbe- 
reich enthdit, in dem alle Originalunteriagen von Arztberichten. Zeugnissen, 
Rontgen-, Ultraschall-, Computertomographieabbildungen usw., Biostgnate. wie 
EKG- und EEG-Daten etc.. direkt oder ais Graphiken u.d. speicherbar sind und 
auf den ein Zug riff zumindest sowert durch die BerechtigungsprOfeinrichtungen 
(3) einzein oder in Kombinatron mit einer Arztkennung, die vorzugsweise uber 
eine spezieile Arztkarte (13) oder eine Arzt-Zugriffegerfltekennung in die Berech- 
tigungsprOfeinrichtungen (3) eingebbar ist. mit einer Inhabertcennung und/oder 
einer Krankenkassenkennung freigebbar ist. 
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43. Personendaten-Archiviemngssystem nach den AnsprOchen 6 und 37 oder einem 

der AnsprOche 38 bis 42, 

dadurch gekennzeichnet, 

daQ der zweite Teil (7) der Speichereinrichtungen (2) einen Nachweisdatenspei- 
cherbereich enthait. in dem zumindest eine vorgebbare Anzahl und/oder Art von 
Zugriffen oder alle Zugriffe auf die Speichereinrichtungen (2) insbesondere ein- 
schlieBllch der jeweils erfolgten vorzugsweise individuellen Berechtigungs- 
und/oder Authentizitatsericennung und vorgenommenen Zugriffeart im einzelnen 
speicherbar ist und auf den ein Zugriff zumindest soweit durch die Berechti- 
gungsprOfeinrichtungen (3) einzein oder In Kombination mit einer Arztkennung. 
die vorzugsweise Qber eine spezielle Arztkarte (13) oder eine Arzt- 
Zugriffegeratekennung in die BerechtigungsprQfeinrichtungen (3) eingebbar ist. 
mit einer Inhaberkennung und/oder einer Krankenkassenkennung freigebbar ist. 

44. Personendaten-Archivierungssystem nach den AnsprOchen 41 und 43, 

dadurch gekennzeichnet, 
da& der Nachweisdatenspeicherbereich im ersten Tell (6) der Speichereinrich- 
tungen (2) schiebereglsterartig aufgebaut Ist. so daB sein altester Inhalt zur ins- 
besondere endgultigen Abspeicheaing in den Nachweisdatenspeicherbereich 
des zweiten Teils (7) der Speichereinrichtungen (2) zur Platzschaffung fur einen 
Neuelntrag im Nachweisdatenspeicherbereich Im ersten Tell (6) der Spei- 
chereinrichtungen (2) Platz verschiebbar ist. 

45. Personendaten-Archlviemngssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet 

da& die Speichereinrichtungen (2) ganz oder teilweise Bestandteil einer Kran- 
kenversicherungskarte. eines Personalauswelses oder einer Kontokarte sind. 



46. Personendaten-Archivlerungssystem nach einem der vorhergehenden AnsprO- 
che, 
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dadurch gekennzeichnet, 

da& mittels den BerechtigungsprOfeinrichtungen (3) ein insbesondere tumus- 
md&iger Kennungswechset einer Anwender- und/oder Gerdtekennung zur Be- 
rechtigungs- und/oder Authentizitdtserkennung berOcksichtigbar ist 



47. Personendaten-Archrvjemngssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet 

da& mrttets den BerechtigungsprOfeinrichtungen (3) eine Authentizitdts- und/oder 
Berechtigungsprafung von Anwender, Zugriffsger^ten (12) und/oder Spei- 
chereinrichtungen (2) fOr einen beabsichtigten Zugriff durchfuhrbar ist. 

48. Personendaten-Archivlerungssystem nach einem der vorhergehenden Ansprii- 
che, 

dadurch gekennzeichnet, 

da& die Speichereinrichtungen (2) eine Mehrzahl von Bereichen enthatten. de- 
nen unterschiediiche ZugrifTssicherungen, wie Passwdrter, PINs. Berechtigungs- 
karten (13) o.£i. zuordenbar sind. 



49. Personendaten-Archivierungssystem nach einem der vorhergehenden /VnsprO- 
che, 

dadurch gekennzeichnet 

da& Schreibzugriffe auf die Speichereinrichtungen (2) dort nur nach Eingabe ei- 
ner Signatur zusammen mit dieser abspeicherbar sind, und da& letztere vor- 
zugsweise durch eine /Knwender- und/oder Zugriffsgerdtekennung insbesondere 
automatisch erzeugbar ist. 
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o Prozessor-Chipkarte 

o Notfallkarte: 

O Personliche Angaben 
O Im Notfall zu verstdndigen 
O Behandelnde Arzte 
o Unbedingt beachten 
O Blutgruppe 
o Organspendeausweis 
O Patiententestament 

o Patientenkarte: 

O Anamnese-Datensatz 
O Diagnostik-Datensatz 
O Labor-Datensatz 
o Ausweise 
o Dauerdiagnosen 
O Dauermedikation 
O Vorsorge-Datensatz 
O Nachsorgedatensatz 
O Datensatz fur 
Gesundheitsprogramme 



o Datenspeicher 

O Texte 

O Btlder 

o Biosignale 

o Labordaten 

o Dokumentation und 
Planung von 

Vorsorgeuntersuchungen, 
Nachsorge von 
chronischen Krankherten 
Oder Tumorieiden 

O Gesundheitsprogramme 



OSoftware 



Figur 2a 
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Prozessor-Chipkarte 



Notfallkarte 



Blutgruppe, Rhesusfakton 

Blutgruppe (A, B, 0). Rhesusfaktor 
Rh-pos (D+VRh-neg (D-)). Arrtlk6r- 
per 



7 



Angaben zur Person: 

Name, Vomame, Geburtsdatum. 
Postleilzahl. Wohnort, StraBe. Te- 
lefon (Keine Angaben zur Kranken- 
^ versicherung. KV-Nr. o.ft.) y 

/ 

Im Notfall verslandigen: 

Name, Vomame, Postteitzahl, 
Wohnort, StraBe, Telefon(Htnweis 
auf ggt. zusfitzliche und aftematrve 
y ^Personen) ^ 

r '. ^ 

Behandelnde Arxte: 

Name. Vomame. Praxisadresse: 
Postteitzahl. Wohnort, StraBe, 
Teletorx Fachrichtung (Hinweis auf 
ggf . zusatzliche Arzle) 



Organspendeausweis: 

Ich bin Organspender fur Trans- 
plantationen: ja/netn 
Im Falle meines Todes bitte Nach- 
richt geben an: Adresse, Telefon 



Unbed'mgt beachten: 

FOr die Notfallvereorgung wichti- 
ge Ertaankungen oder AnomaTi- 
en. Z.B. Unvertrdglichkeit bzw. 
Allergie auf Medikamente (Medh 
kamentenname, Internationale 
Kurzbezelchnung der Wirksub- 
stanz. Art der Reaklion), er- 
schwerte Intubation. Narkose- 
zwischenfftlle. Cerebrales 
KrampfleJd®". Diabetes meflitus, 
Marcumartherapie, Niereninsuf- 
fizienz. Diaiysebehandlung, 
Glaukom, Kontaktlinsen. kunstli- 
ches Auge, Herzschritlmacher, 
Situs Inversus. Chollnesterase- 
mangel. Porphyrie. Haemophi- 
lie. Sonstiges 



Patiententestament: 

Ich bestimme fur den Falle einer 
schweren Erkrankung oder ei- 
nes schweren Unfalls als Aus- 
druck meines Willens fur melne 
Familie und meine Arzte folgen- 
des: 

Ich verfOge Nermit. daB mein 
Leben ... 

Ort. Datum, Signatur 
Bflftfeuunq gverfununa: 
Folgende Personen sind be- 
rechtigt von den behandelnden 
Arzten delaillierte Auskunfte 
Qber meinen Gesundhertszu- 
stand sowie uber diagnostische 
und therapeutische HAaflnamen 
einzuholen. Fur diesen Perso- 
nenkreis entbinde Ich die be- 
handelnden Arrle ausdrOcWich 
von ihrer Schweigepflicht 
Name, Adresse. Teiefon 
Ich emiachtige fur den Fall, daB 
k;h nicht ansprechbar oder nicht 
zurechnungsfShig bin, folgende 
Personen fur mich im Sinne des 
BetreuungsgesetzGs und im 
Einklang mit meinem Patienten- 
testament zu handein und die 
Einwilligung zu medizinisch not- 
wendigen Maflnamen und Ein- 
grrffen zu geben oder zu venwei- 
gem: Name, Adresse. Telefon 

Ort, Datum, Unterschrift 



Figur 2b 



WO%A>8755 



PCT/EP95rt»3597 



4/S 



> 



Prozessor-Chipkarte 



Patientenkarte 



Anamnese: 



Jahr/Krankheit bzw. Operation 
ggf. ICD-SchlOssel 
Ablage auf digrtalen Speicher 
(Z.B. auf MD-Data) 




Dauermedlkation: 

Nur Medikamente. die Qber einen lange- 
ren Zeitraum einzunehmen sind: Han- 
delsname. Internationale Kurzbezeich- 
nung fur den Wirkstoff. verordnete Dosis 
(aus Datenbank des Programms) 



Vorsorgeuntersuchungert 

Dokumentation Qber Vorsorgeuntersu- 
chungen bei Ktndem, Sctiwangeren. 
Krebs-FrQherkennungsuntersuchungen, 
Gesundheitsuntersuchungen (Check-Up) 



Diagnostik: 

Laboruntersuchungen (Datum, unter- 
suchte Substanz mit MeBeinheit, Er- 
gebnis), Sonographie, R&ntgen, Com- 
puter-Tomographie, Magnet-Resonan- 
z-Tomographie, FurwJus-Photographie. 
EKG, EEG. Spirometrie, Bodyple- 
thysmographfe, Sonstiges, Ar^aben 
der Untersuchung, untersuchte Kdrper- 
region. Abiage auf digltalen SpekHier 
(Z.B. auf MOData) 



Ausweise: 

Impfauswets, Aliergieausweis (Allergte 
auf tnhalationsstoffe, Nahrungsmittet, 
Kontaktstoffe und ArzneimitteO. Diabeti- 
kerausweis. Blutdruckausweis, Ausweis 
uber eine Antikoaguiantienbehandlung 
(Maicunnar), Schrrttmacher-Ausweis, 
Ausweis Qber die Verabreichung von 
Blut und Btutprodukten 



Dauerdiagnose: 

Nur Diagnosen von Krankheiten mi! ei- 
nem chroniscben Oder langwierigen Ver- 
lauf: Diagnosen, ICD-SchlOssel (aus Da- 
tenbank der Software) 



Nachsorge Tumorleiden 

Dokumentation entspFet;hender drztti- 
cher Nachsorgeprogramme bei malignen 
Geschwulsterkrankungen, Nachsorge- 
progranwne (aus Datenbank der Soft- 
ware) 



Nachsorge chronische 

Krankheiten: 

Dokumentation entsprechender arztli- 
Cher Nachsorgeprogramme bei chroni- 
schen Krankheiten wie Hypertonie oder 
Diabetes mellitus, Nachsorgeprogram- 
me (aus Datenbank der Software) 



Allgemelne 

Gesundheitsprogramme: 

Eine Rethe von Programmen (aus Da- 
tenbank der Software), die tnsgesamt 
geetgnet sind, die Gesundheit zu erhat- 
ten: z.B. Didtprogramme fur Adipdse, 
Nk:htraucherprogramme, spezielle 
Gymnastikprogramme oder Lempro- 
gramme fur Diabetiker usw. 



Figur 2c 
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